令和7年度 秋期 午前Ⅱ 問6

✓ これが正解エ監査におけるテストでソフトウェア及びデータにアクセスする場合は，読出し専用のアクセスに限定する。

解説

監査のテストでのアクセスは、読出し専用に限るのが望ましいとされます。

JIS Q 27002:2024 には、運用中のシステムに対して監査のテストを行うとき、その影響を抑えるための管理策があります。見分ける軸は、運用システムの完全性と可用性を守る向きの手順かどうかです。テストでソフトウェアやデータにアクセスするときは、読出し専用のアクセスに限ることが望ましいとされています。書込みの権限を持たせなければ、誤操作でデータが書き換わる危険をそもそも生まずに済みます。監査のためのアクセスであっても、適切な管理層との合意、監視とログ取得、業務への影響が小さい時間帯での実施など、通常のアクセスと同じかそれ以上に慎重に扱うのが基本です。監査は例外扱いされる側ではなく、むしろ厳しく管理される側と考えると選びやすくなります。

ほかの選択肢はなぜ違うのか

• ア運用システムに影響を与えないよう，監査に…：監査のテストを目的としたアクセスであっても、監視とログ取得の対象から外すと、後から何が行われたかをたどれなくなります。監査のためのアクセスこそ記録を残して追跡できるようにしておくことが望ましく、向きが逆です。
• イ運用システムや当該システム上のデータへの…：運用システムやデータへのアクセスに関する監査要求事項は、運用担当者だけでなく、適切な管理層と合意しておくことが望ましいとされます。担当者に限って同意を得るやり方では、組織としての承認になりません。
• ウ監査におけるテストがシステムの可用性に影…：テストがシステムの可用性に影響するおそれがあるなら、利用者への影響を避けるため、営業時間外に行うのが筋です。営業時間内に実施すると、業務を止める危険をかえって高めてしまいます。