平成25年度春期 システム監査技術者 午前Ⅱ 問10

監査の目的と対象を整理する視点

監査に関する選択肢を読むときは、監査が何のために行われるのかという目的と、確認や評価の対象となるものを混同しないことに意識を向けます。文の役割を分けて捉えることが出発点です。

この問題で問われていること

各選択肢について、述べている内容が監査を行う理由なのか、それとも監査で確認・評価する範囲や事柄なのかを切り分けて読み、用語の印象よりも文全体の役割に注目します。

視点

判断に迷ったら、選択肢の説明が「なぜ実施するか」と「何を確認するか」のどちらに重心を置いているかを確認します。用語の印象だけで決めず、文全体の役割を捉えます。

確認ポイント

• 選択肢が示す内容は、監査を実施する理由の説明か、確認・評価する対象の説明か。
• 主語や目的語に注目し、目的と対象のどちらを説明する文として読めるか。
• 一文の中で理由と対象が混ざっていないかを確認し、中心となる役割だけを捉えられているか。

正解

ウ

解説

ソフトウェア管理ガイドラインへの準拠性を確認する監査は、ソフトウェアの不正利用や違法複製を防止・発見するための管理状況を対象とします。したがって、ソフトウェアの違法複製を防止・発見する対策事項を監査するウが該当します。

理由

ソフトウェア管理ガイドラインは、組織が保有・利用するソフトウェアを適切に管理し、ライセンス違反や違法複製などを防ぐための基準です。そのため、準拠性の監査では、ソフトウェアの違法複製を防止・発見する対策が実施されているかを確認します。

比較

自然災害や機器障害への備えはリスク管理・事業継続の領域、情報システムの信頼性や安全性はシステム監査全般の領域、脆弱性関連情報の取扱いは情報セキュリティ管理の領域です。いずれもソフトウェア管理ガイドラインそのものへの準拠性確認とは異なります。

選択肢ア

これは不正解だよ。自然災害、機器の障害、故意や過失などのリスクを未然に防止する対策は、情報システムのリスク管理や安全対策に関する監査の対象です。ソフトウェアの違法複製など、ソフトウェア管理ガイドラインへの準拠性を直接確認する内容ではありません。

選択肢イ

これは不正解だよ。情報システムの信頼性と安全性を確実に具備する対策事項は、システム全体の信頼性・安全性を評価する監査に該当します。ソフトウェアの管理ルール、とりわけ違法複製の防止・発見に焦点を当てた監査目的とは異なります。

選択肢ウ（正解）

これは正解だよ。ソフトウェア管理ガイドラインへの準拠性を確かめる監査では、利用中のソフトウェアを適法かつ適切に管理しているかを確認します。ソフトウェアの違法複製を防止・発見する対策事項は、その管理目的に直接対応しています。

選択肢エ

これは不正解だよ。ソフトウェアの脆弱性関連情報の取扱いは、脆弱性への対応や情報セキュリティ管理に関する監査の対象です。重要な管理事項ではありますが、ソフトウェアの違法複製を防止・発見する管理を扱うガイドラインの準拠性確認とは対象が異なります。

学習のポイント

監査対象の分野と、ガイドラインが求める管理目的を結び付けて判断する。