出題範囲
- 報告/フォローアップ
- インフラ/運用/セキュリティ監査
- アプリケーション監査
- ITガバナンス/内部統制
- 監査基準/手続/計画
- 監査計画/リスクベースド監査
- ITガバナンス/ITGC/アプリ統制
- 監査技法/証拠/サンプリング/CAAT
- フォローアップ/品質管理/コンプライアンス
- 報告/是正勧告/コミュニケーション
例題に挑戦
スキルサートのAIが生成した演習問題のサンプルです。アプリでは毎週新しい問題が追加されます。
例題1
システム監査人が監査報告書を作成する際、実施した監査手続きの結果に基づいて記載すべき事項として、最も適切なものはどれか。
- 発見された指摘事項、それに対する改善勧告、及び監査人の結論
- 監査の結論を導き出すために不可欠な証拠資料のすべての写し
- 監査対象部門の責任者が改善を約束した事項の進捗リスト
- 次回以降の監査における具体的な監査スケジュール案
- 監査期間中に発生した想定外の監査費用とその経理処理内訳
解答と解説を見る
正解: 発見された指摘事項、それに対する改善勧告、及び監査人の結論
監査報告書には、監査の目的、範囲、実施した監査手続の概要に加え、監査の結果として発見された指摘事項、改善勧告、および監査人の結論を記載する必要があります。正解は「発見された指摘事項、それに対する改善勧告、及び監査人の結論」です。これにより、監査依頼者は現状の課題と必要な対応を正確に把握することができます。証拠資料の写しは監査調書として保管されるものであり、報告書本体にすべて添付するものではありません。
例題2
システム監査人が、指摘事項に対する是正状況を確認するフォローアップを実施する際、最も重視して確認すべき点はどれか。
- 担当者の人事評価
- 改善計画の策定状況
- 是正措置の予算確保
- 是正の完了
- 報告書の配布範囲
解答と解説を見る
正解: 是正の完了
フォローアップの主な目的は、監査で指摘された事項に対して適切な是正措置が講じられ、意図した改善が図られているかを確認することです。正解は「是正の完了」です。単に改善計画が立てられたことだけでなく、実際に問題が解消され、再発防止策が有効に機能していることを客観的な証拠に基づいて確認することが、監査の有効性を担保する上で最も重要となります。是正が完了していない場合は、その理由や今後の見通しを確認する必要があります。
重要用語
- 事業継続計画（BCP）
- 災害やシステム障害などの緊急事態において、重要な事業を中断させない、あるいは早期に復旧させるための計画です。システム監査では、復旧時間目標（RTO）や復旧時点目標（RPO）が妥当か、定期的な訓練が行われているかを確認します。インフラの可用性を確保する上での中核的な管理項目として、その実効性が厳格に評価されます。
- SLA（サービスレベル合意書）
- サービスの提供者と利用者の間で、サービスの品質や範囲について合意した文書です。運用監査では、可用性や応答速度などの目標値が定義されているか、実際のパフォーマンスが測定・報告されているかを検証します。合意内容が守られていない場合の改善プロセスが適切に機能しているかどうかも、監査において重要なチェックポイントとなります。
- 特権ID管理
- システム管理者など、強力な権限を持つアカウントの利用を制御・監視することです。セキュリティ監査では、特権IDの貸し出しが承認に基づいているか、ログの記録と点検が行われているかを確認します。不正アクセスや内部不正のリスクを低減するため、IDの共有禁止やパスワードの厳格な管理など、運用の実態が詳細に調査されます。
- 変更管理
- システムの修正や設定変更を計画的に実施し、障害の発生を防止するプロセスです。監査では、変更作業が事前に承認されているか、テストが十分に行われたか、本番環境への反映後に結果が確認されているかを評価します。独断での変更を排除し、証跡を残すことで、システムの安定性と信頼性を維持するための重要なコントロールとみなされます。
- 物理的セキュリティ
- サーバー室やデータセンターへの不正侵入、火災、地震などの物理的な脅威から情報資産を保護するための対策です。入退室管理記録の整合性、監視カメラの設置状況、ラックの施錠、無停電電源装置（UPS）の稼働状態などが監査対象となります。インフラの安全性を担保する基盤として、物理的な境界線の防御が適切かどうかが評価されます。
- バックアップ管理
- データの損失に備えて複製を保存し、必要時に復元できるように管理することです。監査では、バックアップが計画通りに実行されているかだけでなく、実際にデータを復元できるかを確認するリカバリテストの実施状況を重視します。媒体の遠隔地保管や世代管理が適切に行われ、万が一の際にもデータの整合性が保たれる仕組みが問われます。
- 脆弱性管理
- OSやソフトウェアのセキュリティ上の欠陥を把握し、修正パッチの適用などの対策を講じることです。監査では、最新の脆弱性情報の収集体制、パッチ適用の優先順位判断、適用漏れがないかを確認するスキャン実施状況などを検証します。インフラのセキュリティレベルを維持し、外部からの攻撃リスクを最小化するための重要な運用プロセスです。
- インシデント管理
- システムの異常やセキュリティ事故が発生した際に、迅速にサービスを正常な状態へ復旧させる活動です。監査では、発生した事象が漏れなく記録されているか、エスカレーションフローが確立されているか、再発防止策が策定されているかを確認します。単なる復旧だけでなく、原因分析と恒久対策のサイクルが運用に組み込まれているかが評価の焦点となります。
システム監査技術者試験の対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
