令和7年度秋期 システム監査技術者 午前Ⅱ 問6

監査と運用システム保護の目的を見極める

監査活動そのものが業務や運用中のシステムに支障を与えないよう配慮する、という管理策の狙いを軸にします。検討対象の内容がその狙いに沿うかを、自分の言葉で判断する姿勢が学習上大切です。

この問題で問われていること

監査で得たい保証と、運用環境の可用性や完全性を保つことをどう両立させるかという観点で考えます。各内容が影響の抑制に寄与するのか、別の目的のものなのかを区別します。

視点

監査は情報システムの状態を確かめる活動です。ただし、確かめる行為自体がシステムの資源を使い、データや設定に触れる可能性があります。管理策を学ぶときは、ある対策が「何を守るためのものか」という目的で整理すると、似た名称や似た場面の管理策と混同しにくくなります。

確認ポイント

• その内容が守ろうとしている対象を言語化したか
• 監査目的の達成と運用への影響抑制のどちらに主眼があるかを区別したか
• 似た目的をもつ別の管理策と混同していないかを見直したか

正解

エ

解説

JIS Q 27002:2024の監査活動では、運用システムへの影響を抑えるため、監査テストの実施方法やアクセスを適切に制限することが重要です。

理由

運用システムに対する監査では、テストによってサービス停止やデータ変更などが起きないように配慮する必要がある。ソフトウェアやデータへアクセスする場合に読出し専用とすれば、監査対象を確認しつつ、変更による影響を抑えられる。

比較

監査アクセスを監視やログ取得の対象外にしたり、同意を一部の担当者だけに限定したりすることは、監査活動の管理を弱める。また、可用性に影響する可能性があるテストは、営業時間内ではなく、影響を抑えられる時間帯や方法を検討する。

選択肢ア

これは不正解だよ。監査テストを目的としたアクセスであっても、運用システムに対する操作として管理する必要がある。監視やログ取得の対象外にすると、実施内容の追跡や影響の確認ができなくなり、監査活動によるリスクを抑える考え方に反する。

選択肢イ

これは不正解だよ。運用システムやデータへのアクセスに関する監査要求事項について、運用担当者だけに限定して同意を得るという条件は適切ではない。監査による影響を管理するには、対象や実施方法を踏まえて必要な承認や調整を行う必要がある。

選択肢ウ

これは不正解だよ。テストがシステムの可用性に影響する可能性がある場合、営業時間内に実施すると利用中のサービスへ影響を及ぼすおそれがある。運用への影響を最小限にするという目的から、実施時間の設定が不適切である。

選択肢エ（正解）

これは正解だよ。監査テストでソフトウェアやデータにアクセスする場合、読出し専用に限定すれば、監査対象を確認しながらデータやシステムの変更を防げる。運用システムへの影響を最小限にするための、適切なアクセス制限である。

学習のポイント

監査アクセスの影響抑制と、運用環境を保護する制限方法