令和元年度 秋期 午前 問60

✓ これが正解イデータに関するアクセス制御の管理規程を閲覧した。

解説

システム監査人は規程を閲覧します。作る側には回りません。

システム監査人の仕事は、決められたとおりに行われているかを確かめることです。確かめるためには、決まりや記録を見せてもらう必要があります。規程を閲覧するのは、まさにその確かめる行いにあたります。閲覧した規程と、実際の運用が食い違っていないかを突き合わせます。一方で、自分で台帳を作ったり、方針を定めたりしてはいけません。自分が作ったものを自分で確かめることになり、独立性が失われるからです。手続を自分で実施することも同じで、行う側に回ってしまいます。見る側と行う側を分けることが、監査という仕組みの土台です。直すのは運用する側です。肢に並ぶ動詞を見れば、どちらの側の行いかが分かります。作成する、制定する、実施するは行う側の言葉です。閲覧する、確かめる、聴き取るが見る側の言葉になります。

ほかの選択肢はなぜ違うのか

• アソフトウェアに関するアクセス制御の管理台…：台帳を作成して保管したと述べています。作る行いなので、確かめる側の立場から外れます。自分の作ったものを自分で確かめることになります。記録を用意する仕事は、運用する側に属します。見せてもらう立場にとどまります。
• ウネットワークに関するアクセス制御の管理方…：方針を制定したと述べています。決まりを定めるのは運用する側の仕事です。定めた本人が確かめても、独立性は保てません。方針を決めるのは経営や主管部門の役目です。それが守られているかを見る側にいます。立場が入れ替わっています。
• エハードウェアに関するアクセス制御の運用手…：運用手続を実施したと述べています。行う側に回っているので、確かめる立場ではなくなります。実施した結果を後から見るのが監査人の役目です。手続を動かせば、監査の対象そのものになります。見る人と動かす人は分けます。