令和7年度秋期 データベーススペシャリスト 午前Ⅰ 問22

根拠と判断のつながりを確認する

システム監査の検討では、用語の印象だけで判断せず、示された情報がどの判断の根拠になるかに注目しましょう。根拠と判断のつながりを整理し、説明に含まれない前提を自分で補っていないか確かめます。

この問題で問われていること

注目するのは、判断がどの情報に支えられているかという一点です。与えられた内容を手掛かりに、判断とその根拠を対応させて考え、そこに示されていることと、自分が推測で付け足したことを混同していないか確認しましょう。

視点

情報と、それを基にした判断を分けて捉え、そのつながりをたどってみましょう。判断を支える情報を整理する際は、自分の知識や印象から補った前提が入り込んでいないかを意識します。

確認ポイント

• 判断の根拠として参照している情報は何か
• その情報と判断をどのように結び付けているか
• その結び付きに、示されていない前提を加えていないか

正解

イ

解説

正解はイです。コントロールの視点では、リスクに対応する具体的な統制が有効に機能しているかを評価します。異常なアクセスを検出した際の対処及び報告は、その統制の実施状況を確認する項目です。

理由

異常なアクセスへの対応では、検出後に必要な対処及び報告が適時に行われることが重要です。イは、この具体的な統制が実際に機能しているかを確認しているため、コントロールの視点に該当します。

比較

アのIT投資によるリターンと、エの経営戦略推進のための技術活用は、経営上の価値や戦略との整合を評価するガバナンスの視点です。ウのPDCAサイクルに基づく情報セキュリティ対策の管理は、マネジメントの視点に該当します。

選択肢ア

これは不正解だよ。IT投資の結果が適切なリターンを生んでいるかという項目は、投資が経営にどのような価値をもたらしたかを評価するものです。経営上の成果を確かめるガバナンスの視点に該当し、個別のリスクに対応する統制の実施状況を確かめる項目ではありません。

選択肢イ（正解）

これは正解だよ。異常なアクセスを検出した際に、適時に対処及び報告がなされているかを確かめる項目です。コントロールの視点では、リスクに対応する具体的な統制が有効に機能しているかを評価します。検出後の対処と報告の実施状況は、この視点で確認する対象です。

選択肢ウ

これは不正解だよ。情報セキュリティ対策がPDCAサイクルに基づいて適切に管理されているかという項目は、対策を計画し、実施・評価・改善する管理の仕組みを確認するものです。マネジメントの視点に該当し、個々の統制の作動状況を直接確認する項目とは区別します。

選択肢エ

これは不正解だよ。新技術や技術革新を経営戦略推進のために適時適切に利活用できているかという項目は、技術の活用が経営戦略に結び付いているかを評価するものです。組織の方向性とITの活用を確かめるガバナンスの視点に該当し、具体的な統制の実施状況を確認する項目ではありません。

学習のポイント

経営戦略や成果を見るガバナンス、管理の仕組みを見るマネジメント、具体的な統制を見るコントロールの違いを理解しましょう。