令和5年度 秋期 午前Ⅱ 問1
システム監査
監査報告書に記載すべきもの
AIシステムが読み込む画像などの学習データの管理を対象としてシステム監査を実施した。判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
- アAIシステムの学習期間中における学習データの責任追跡性を確保するために，当該データを保管するサーバのアクセスログを取得し，定期的に確認を行っていた。
- イ学習データが消失した場合，当該データを保管するサーバのバックアップを利用し，AIシステムで学習を再開することを定めていた。
- ウ学習データの機密性の確保に際して，データを保管するサーバでアクセス制御の仕組みを実装していた。
- エ学習の基礎となるデータの信頼性の確保について，AIであれば問題ないとの憶測に基づき，実績のないAIシステムに判断させたデータを利用していた。
答えと解説を見る
✓ これが正解エ学習の基礎となるデータの信頼性の確保について，AIであれば問題ないとの憶測に基づき，実績のないAIシステムに判断させたデータを利用していた。
解説
実績のないAIの判断を確かめずに学習データへ使うのは、統制の欠如です。
監査報告書に載せる指摘事項は、あるべき統制が整っていない、または働いていない状況です。判明した四つの状況のうち三つは、アクセスログの取得と定期的な確認、バックアップを使った学習の再開手順、アクセス制御の実装で、どれも学習データを守る統制が整っている例です。残る一つは、学習の土台になるデータの信頼性を、根拠のない憶測に頼って確かめずにいた状況です。実績のないAIシステムに判断させたデータをそのまま使えば、誤りが学習結果に入り込んでも気づけません。データの品質を確かめる仕組みが欠けているので、監査人が指摘すべき事項になります。統制が働いている記述と、確認を省いている記述を分けて読むのが見分け方です。
ほかの選択肢はなぜ違うのか
- アAIシステムの学習期間中における学習デー…：アクセスログを取るだけでなく、定期的に確認するところまで行っています。誰がいつデータに触れたかを後から追える状態なので、責任追跡性を確保する統制が働いている例として評価される側の状況です。
- イ学習データが消失した場合，当該データを保…：学習データが失われたときに備え、バックアップから学習を再開する手順を定めています。可用性を守る備えが用意されている状況であり、不備として監査報告書に挙げる理由は見当たりません。
- ウ学習データの機密性の確保に際して，データ…：データを保管するサーバにアクセス制御を実装し、機密性を守っています。権限のない者がデータを読めないようにする基本的な統制が整っている記述なので、指摘の対象にはなりません。
この問題の用語
- 指摘事項監査で見つかった、直すべき点として報告書に書かれる事柄です。決まりどおりに行われていた行為は、ここには含まれません。
- 監査報告書監査の結果と意見、改善の勧告をまとめて伝える文書のことです。原案は相手と意見交換し、事実誤認がないかを確かめます。
- 責任追跡性ある行いが誰によるものかを、後からたどれるという特性です。主張するとおりのものであることを指す真正性とは別のものです。
- システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
- 監査人システム監査を行う人。作る側や運用する側から独立した立場を保ち、自分では作らずに規程や記録を見て確かめます。
- アクセスログ誰がいつどの情報に触れたかを残しておく記録のことです。利用状況の把握や障害の調査、サイトの改善などに役立ちます。
- バックアップ失っても元に戻せるよう、データの複製を別に取っておくこと。取るだけでなく、戻せるかを確かめておくのが要点です。
- 機密性許された人だけが情報に触れられる状態が保たれていること。完全性・可用性と並ぶ、情報セキュリティの三つの性質の一つです。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問1
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問7：システム監査基準に関する問題（監査報告書）
- 令和6年度 秋期 午前Ⅱ 問7：監査報告書に関する問題（指摘事項）
- 令和4年度 秋期 午前Ⅱ 問12：ウォームスタンバイの説明（バックアップ）
- 令和4年度 秋期 午前Ⅱ 問6：プライバシーマークに関する問題（機密性）
- 平成27年度 春期 午前Ⅱ 問21：PCI DSSに関する問題（アクセスログ）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）