平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25

ITに関する保証業務では、登場人物を3人に分けて考えるとわかりやすいよ。たとえばWebサービスを“お店”にたとえると、サービスの信頼性に責任をもつのはお店の責任者、つまり企業の経営者。ちゃんと信頼できるかをチェックするのは外部監査人。そして、そのチェック結果である保証報告書を見る人は、Webサービスを使う利用者だよ。

この問題で問われていること

保証業務に出てくる三当事者について、「誰がチェックする人か」「誰が責任を負う人か」「誰が報告書を使う人か」を正しく結び付けられるかがポイントだよ。

Three Parties in IT Assurance

in assurance engagements、 the practitioner is the external auditor、 the responsible party is management、 and the intended users are the web-service users

practitioner: external auditor\nresponsible party: management\nintended users: service users

確認ポイント

• 三当事者の名称を整理する。
• 責任者は経営者側。
• 利用者と監査人を入れ替えない。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。Aだと、Webサービス利用者が保証業務の実施者になっているけど、利用者はお客さん側であって、専門的に監査する人ではないんだ。レストランのお客さんが衛生監査員になるような話で、役割が入れ替わっているよ。

選択肢イ

これは不正解だよ。Bは外部監査人が実施者なのは合っているけど、Webサービスの信頼性に責任を負う者が利用者になっているのが違うよ。サービスの安全性や信頼性に責任を持つのは、使うお客さんではなく、そのサービスを運営している企業の経営者だよ。

選択肢ウ（正解）

これは正解だよ。保証業務は、ざっくり言うと「店をチェックする人」「店の責任者」「その結果を見て安心したいお客さん」の3人組で考えるんだ。Webサービスなら、チェックする人は外部監査人、責任を負うのはその企業の経営者、報告書を読む想定の人はWebサービス利用者。だからCの組合せがぴったりだよ。

選択肢エ

これは不正解だよ。Dだと、当該企業の経営者が保証業務の実施者になってしまうけど、自分の店を自分で『問題ありません』と保証するようなものなんだ。保証は第三者の目で見るから意味があるので、実施者は外部監査人でないといけないよ。