ITパスポート 平成25年度 春期 特別措置試験 問51

✓ これが正解ウ 情報システムのリスクに対するコントロールが適切に整備・運用されているかを，監査対象から独立した第三者が評価する。

解説

自分で自分を見ている形は、監査とは呼べないものです。

システム監査の核心は、評価する人と評価される人が別だという点です。リスクへの対策が整い、機能しているかを外から確かめます。そのため、独立した第三者が評価すると述べた選択肢が正解です。独立しているからこそ、確かめた結果に価値が生まれます。品質の規格に沿う仕組みを責任者が構築する選択肢は、構築して運用する行為で、確かめる行為ではありません。作った人が自分の作ったものをテストする選択肢も同じ形で、必要な作業ではありますが、独立していません。管理する人が自ら脆弱性を調べる選択肢も同様で、ツールを使って調べること自体は正しい備えです。実施する人と評価する人が重なっている点が、三つの誤りに共通しています。三つの行為が誤りなのではなく、監査ではないというだけです。

ほかの選択肢の解説

• ア ISO 9001に基づく品質マネジメントシステムを，品質管理責任者が構築し運営する。：品質の規格に合わせた仕組みを、責任者自身が作って回すとしています。これは整備と運用の仕事で、外部からの評価ではありません。当事者が自分の仕組みを見ているので、立場の独立がありません。
• イ 開発担当者が自ら開発したシステムの内容をテストする。：作った人が自分でテストするとしています。作りながら確かめるのは必要な作業ですが、自分の作ったものを自分で見ているので、見落としがそのまま残ります。やはり立場が重なっています。
• エ 専用のソフトウェアを使って，システム管理者がシステムのセキュリティホールを自ら検証する。：管理する人が自ら脆弱性を調べるとしています。ツールを使って穴を探す正しい備えですが、調べる人は守っている当人で、外部の目が入っていません。こちらも立場が重なっています。