令和4年度秋期 システム監査技術者 午前Ⅱ 問3

留意点を整理するための視点

この種の設問では、基準を覚えた順に当てはめるのではなく、何を目的に、どの場面で、誰が扱う情報なのかを切り分けます。そのうえで、説明の前提、適用範囲、判断の時点が互いに矛盾していないかを確認してください。

この問題で問われていること

一つの観点として、示された留意点が対象の目的や利用場面と整合しているかに注目してください。表現の細部を暗記するより、前提と適用範囲、判断する時点の対応を読み取ることが重要です。

視点

制度や基準に関する説明を読むときは、内容そのものだけでなく、想定される利用者、判断の時点、参照する範囲を整理します。さらに、それぞれが同じ前提で結び付いているかを確認し、局所的な印象だけで判断しないようにします。

確認ポイント

• 目的と適用場面の対応が説明されているか
• 前提となる対象や範囲が途中で変わっていないか
• 判断する時点と、参照する情報の関係が一貫しているか

正解

ウ

解説

システム管理基準は、組織の規模や目的に応じて柔軟に活用できる基準であり、中小企業の情報システム化や自己診断、監査にも利用できます。

理由

前文では、システム管理基準を大企業に限らず、中小企業の情報システム化戦略や実践に関する自己診断、監査にも使用できるとしています。したがって、適切なのはウです。

比較

この基準は全ての管理項目を一律に適用することや、規定内容をそのまま採用することを求めていません。また、情報セキュリティについても、同基準を一切使えないという扱いではありません。

選択肢ア

これは不正解だよ。基準の主旨を実現するためであっても、管理項目を網羅的に適用しなければならないとは限りません。組織の規模や目的、実情に応じて必要な項目を活用する考え方なので、「必ず網羅的に適用する」という断定が誤りです。

選択肢イ

これは不正解だよ。情報セキュリティの監査・管理では情報セキュリティ管理基準を参照する場面がありますが、本肢のようにシステム管理基準を使ってはならないと限定していません。基準の利用を一律に排除している点が不適切です。

選択肢ウ（正解）

これは正解だよ。システム管理基準は大企業だけを対象とするものではなく、中小企業向けの情報システム化戦略や実践に関する自己診断、監査にも使用できます。組織規模を限定せず、目的に応じて活用できるという前文の説明に合致します。

選択肢エ

これは不正解だよ。企業が同基準を基に独自の管理基準を策定する場合でも、規定された管理項目を可能な限りそのまま採用することが必須とはされていません。組織の状況や目的に応じた調整を認める基準の性格と合いません。

学習のポイント

基準の適用範囲と、組織の状況に応じた柔軟な活用方法を理解する。