平成28年度 春期 午前 問59

✓ これが正解イデータに関するアクセス制御の管理状況の確認

解説

監査人は管理状況を確かめる立場に徹します。

システム監査では、監査人が対象の作り方や運用に自ら手を入れないことが土台です。作成、制定、運用管理といった、対象そのものを動かしたり形にしたりする営みに監査人が入り込むと、あとで同じ対象を監査人自身が調べることになり、独立性が保てなくなるからです。判定の軸は、示された行動が監査人としての確かめる営みに留まっているか、それとも対象を動かす営みに踏み込んでいるかの一点にあります。データに関するアクセス制御の管理状況を確認するという営みは、監査人が現状を観察して集めるものなので、対象の管理そのものに手を出すことなく、監査の目的である評価に必要な材料を得ることができます。だから、データに関するアクセス制御の管理状況の確認、と述べた記述が当たりました。管理表の作成と保管、管理方針の制定、運用管理の実施は、いずれも対象を動かす営みで、監査人がとる行動としては筋が違います。

ほかの選択肢はなぜ違うのか

• アソフトウェアに関するアクセス制御の管理表…：ソフトウェアに関するアクセス制御の管理表の作成と保管を挙げています。管理の道具を自ら作って持つ営みで、対象の側で行われるべき仕事に監査人が入り込む形になります。監査人としての行動としては筋が違います。
• ウネットワークに関するアクセス制御の管理方…：ネットワークに関するアクセス制御の管理方針の制定を挙げています。方針を定めるのは対象の側の役どころで、監査人がその制定に加わると、あとで同じ方針を自分自身が確かめる立場となり独立性を欠きます。
• エハードウェアに関するアクセス制御の運用管…：ハードウェアに関するアクセス制御の運用管理の実施を挙げています。運用を回すのは対象の側の営みで、監査人がそこに手を入れると、自ら動かした運用を自ら確かめる形となり、監査の前提を崩します。