システム監査技術者試験 令和7年度秋期

問1 では，オープンAPI 態勢を題材として，オープンAPI 態勢の各機能において生じるリスク，及びリスク に応じたコントロール，また，それらのコントロールの有効性を検証するために必要な監査証跡と監査手続に ついて出題した。全体として正答率は平均的であった。 設問2 は，(ⅱ)の正答率が低かった。新旧両方のAPI を継続して存続させる旨の解答が散見された。IB サー ビスの向上など，API の仕様を変更する意味及び必要性を理解してほしい。 設問3 は，正答率が平均的であった。API サーバの負荷状況，接続遮断などの各種イベント発生状況，オー プンAPI 経由のアクセス状況がまとめられたオープンAPI 運用報告書が，監査証拠として最も適しているが， 各種のログといった明確でない解答が少なからず見られた。適切な監査証拠を特定し，それを基に監査手続を 行う能力は監査人にとって必須であるので，ぜひ身に付けてほしい。 設問4 は，やや正答率が低かった。一般的なリスクベースアプローチについての解答が多く見られた。問題 文に“アクセストークンに基づくリスクベースアプローチ”とあるので，趣旨に沿って解答してほしい。

問２では，クラウドサービスを利用したシステムを題材として，クラウドサービスを利用する際のリスクを 理解した上で，IaaS を利用中の組織において実施すべきコントロールや監査手続について出題した。全体とし て正答率は平均的であった。 設問2 は，正答率が平均的であった。ソフトウェアの脆 ぜい 弱性を突いたサイバー攻撃による情報漏えいやシス テム障害が発生するリスクに対しては，脆弱性の緊急度に応じた適時の対処が必要になることを理解してほし い。 設問3 は，正答率が平均的であった。システム管理者権限の操作ログが暗号化され，アクセス制限され，保 管されることは重要であるが，これに加えて，システム管理者が不正操作を隠蔽するために操作ログを改ざん する，誤って操作ログを変更又は削除するリスクを想定し，システム管理者権限で操作ログを変更又は削除が できないことを確かめる必要があることを理解してほしい。

問3 では，IT 投資計画の監査を題材に，IT 投資計画におけるIT 投資額の過小見積りや効果の検討不足，実 行段階でのIT コストの増大などのリスクに対する監査手続について出題した。全体として正答率は平均的で あった。 設問2 は，正答率が平均的であった。S 社が開発する範囲とR 社が開発する範囲の関係や見積り作業の実施 状況から，リスクを識別し，監査手続を作成することがポイントである。また，監査手続の策定では，何を確 認するのかだけではなく，どのような監査技法や監査証拠によって確かめるのかを示す必要があることを理解 してほしい。 設問3 は，正答率が平均的であった。S 社との関係でR 社の情報セキュリティ対策に漏れがないように支出 額を適切に計上するためには，R 社の情報セキュリティ対策に関する責任範囲が明確となっていることが前提 であることを理解してほしい。 設問4 は，正答率が平均的であった。社外からの人材を採用して新設されたDX 推進室が独自に試算した利益 率向上の実現可能性について，当事者である営業本部がどこまで確認しているのかが重要である点に気が付い てほしい。

全問共通 全問に共通して，システム監査人としての見識や監査手続を設定できる能力などを問うているが，問題文の 趣旨を踏まえていない論述が目立った。また，監査証拠が具体的ではない監査手続に関する記述や論文の体裁 が十分整っていない解答も散見された。自らの経験と考えに基づいて，設問で求めている内容について具体的 に論述するように心掛けてほしい。

問1 では，論述対象とした情報システムの導入に伴う新たなリスク（以下，特有のリスクという）に関する 監査についての解答を求めているが，他の情報システムや導入前の情報システムで既に識別されているリスク についての論述が目立った。また，AI やIaaS などの新たな技術そのものをリスクとし，これらの技術を導入 することで生じる特有のリスクを明確にしていない記述も散見された。設問イでは，特有のリスクである理由 が不明確であったり，その対応策が一貫していなかったりする記述が散見された。設問ウでは，対応策の監査 手続だけを記述している解答が散見された。問題文の趣旨や設問で求めている内容を踏まえて，具体的に論述 してほしい。

問2 では，事業継続計画と整合性が取れた情報システムの業務継続計画（以下，IT-BCP という）に関する監 査についての解答を求めているが，事業継続との関連が不明瞭な論述が目立った。設問アでは，IT-BCP の概要 について実施する対策の記述が不十分な解答が散見された。設問イでは，目標復旧時間，目標復旧レベル，目 標復旧時点の目標を確保するための体制，対策については記述できていたが，それらの目標が妥当かどうかに ついての記述が不十分な解答が目立った。設問ウでは，監査手続や入手すべき監査証拠を記述していない解答 が散見された。また，IT-BCP の実効性について結果事象の見直しに関連した記述がない解答が目立った。設問 で求めている内容を踏まえて，論述してほしい。