令和4年度 秋期 午前Ⅱ 問7

✓ これが正解エ監査におけるテストでソフトウェア及びデータにアクセスする場合は，読出し専用のアクセスに限定する。

解説

監査のテストでは、ソフトウェアとデータへのアクセスを読出し専用に限ります。

JIS Q 27002:2014は、情報システムの監査に対する管理策として、運用システムの検証を伴う監査要求事項や監査活動を、業務プロセスの中断を最小限に抑えるよう計画し、合意することを求めています。その実施の手引では、監査のテストでソフトウェアやデータにアクセスする場合は、読出し専用のアクセスに限定することが示されています。監査のためのテストが運用中のデータを書き換えたり、システムの動作を変えたりすれば、監査そのものが業務に影響を与えてしまうからです。読出し専用以外のアクセスが必要な場合は、システムの複製を使うなどの配慮が求められます。監査は運用を見るが運用を変えない、という姿勢で選択肢を読むと判断できます。

ほかの選択肢はなぜ違うのか

• ア運用システムに影響を与えないよう，監査に…：監査のためのテストをアクセス監視やログ取得の対象外にすると、監査活動で何が行われたかを後から確かめられません。手引では、監査のためのアクセスも監視し、ログを取得することが示されており、記述は逆の扱いです。
• イ運用システムや当該システム上のデータへの…：監査要求事項についての同意を運用担当者だけから得るのでは、適切な権限をもつ管理層の合意が欠けます。手引は、運用システムやデータへのアクセスに関する監査要求事項を、適切な管理層と合意することを求めています。
• ウ監査におけるテストがシステムの可用性に影…：システムの可用性に影響するおそれのあるテストを営業時間内に行うと、業務への影響が大きくなります。手引は、そうしたテストを業務時間外に実施することを示しているので、営業時間内とする記述は逆です。