ITパスポート 平成24年度 秋期 特別措置試験 問35

✓ これが正解ウ 組織体の情報システムに関わるリスク対策が適切に整備・運用されているかを，独立的な立場で検証すること

解説

独立した立場でリスク対策を検証するのがシステム監査です。

システム監査には、二つの条件がいつも付いてきます。ひとつは、対象から独立した立場で行うことです。もうひとつは、リスク対策が整備・運用されているかを確かめることです。四つの肢を、この二つの条件に当てて落としていきます。リスク対策が整備・運用されているかを独立的な立場で検証する。この二つを両方そなえた肢が正解です。離れた立場だからこそ、身内に甘くならずに済みます。使う人が本番に移してよいかを試す受入れテストも、確かに検証です。ただし行うのは使う側なので、立場が離れていません。指紋や虹彩で本人を確かめる生体認証は、入口を守る手立てです。外から入り込んで盗み見る不正アクセスは、そもそも攻撃にあたります。つまり二つの条件で、残るのは一つだけになります。シラバスも、システム監査の意義と目的を学ぶよう求めています。

ほかの選択肢の解説

• ア 開発されたシステムを，実際にシステムを使う利用者自身が，本番稼働してよいかどうかを判断するためにテストすること：利用者自身が本番稼働の可否を判断するためのテストを挙げた肢は、受入れテストの説明です。行うのは当事者なので、独立した立場ではありません。監査に必要な二つの条件の片方が欠けています。
• イ システムを利用するための認証として，指紋，眼球の虹彩，声紋などの身体的特徴による本人確認を行うこと：指紋や虹彩、声紋で本人を確認する肢は、生体認証の説明です。体の特徴を鍵にして入口を守る、対策の道具そのものです。対策が整っているかを外から確かめる行いではありません。守る側と、見る側の違いです。
• エ ネットワークを通じて外部からシステムに侵入し，無断でデータやプログラムを盗み見たり，改ざん・破壊などを行ったりすること：ネットワークを通じて侵入し、データを盗み見たり改ざんや破壊をしたりする肢は、不正アクセスの説明です。これは守るべき相手であって、監査ではありません。向きがまるで逆です。言葉の似ている攻撃で、監査の対象になる側です。