平成30年度秋期 情報処理安全確保支援士 午前Ⅰ 問22

午前I 問22：可監査性は「あとから確認できる状態」のことだよ

可監査性とは、監査人が「ちゃんとルールどおりに運用されているかな？」を確認できる状態のことだよ。たとえば、入退室の記録、防犯カメラ、レシートが残っていれば、あとから何が起きたか確認しやすいよね。ITでも同じで、ログ、証跡、権限管理などが整っていると、統制が有効に働いているかを監査人が検証できるんだ。

この問題で問われていること

ポイントは、可監査性は『監査人のスキルが高いこと』や『監査対象の部署が協力的なこと』ではない、という点だよ。見る人の能力や相手の態度ではなく、ログや証跡などによって『確認できる材料がシステムや運用にちゃんと残っているか』を考えよう。

Auditability

auditability means the system is designed and operated so controls can be audited effectively

design for evidence\ncontrols can be audited

確認ポイント

• 監査人の能力そのものではありません。
• 協力的かどうかとも別概念です。
• 監査可能な証跡と設計を押さえる。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。これは『可監査性』の説明だね。可監査性とは、あとから監査できるように記録や確認ポイントが用意されていること。たとえるなら、建物に防犯カメラの記録や入退室ログが残っていて、『誰がいつ入ったか』を後から確認できる状態だよ。情報システムも、コントロールが効いているか監査できるように設計・運用されている必要があるんだ。

選択肢イ

不正解だよ。これは『システム監査人の専門能力』の説明だね。たとえるなら、泥棒対策を点検する人が、ちゃんと点検できる知識と腕をもっているかという話。問題で問われる“監査される側の仕組み”の話ではなく、“監査する人の能力”の話なのでズレているよ。

選択肢ウ

不正解だよ。これは監査証拠や監査報告書の品質の話だね。たとえるなら、調査メモが十分そろっていて、報告書もきれいに完成している状態のこと。大事ではあるけれど、『監査できるようにシステムが作られているか』という可監査性そのものの説明ではないよ。

選択肢エ

不正解だよ。情報システム部門が協力してくれるのは、監査を進めやすくする条件ではあるね。たとえるなら、建物の管理人さんが合鍵を出して案内してくれるようなもの。でも、協力があること自体は、システムに監査用の記録や確認手段が備わっているという意味ではないので、可監査性の説明としては違うよ。