ITパスポート 平成28年度 秋期 特別措置試験 問54

✓ これが正解ア システム監査業務の品質を確保し，有効かつ効率的に監査業務を実施するための基準を定めたものである。

解説

誰のために書かれた基準かで、よく似た二つが分かれます。

基準という語が付いた文書が並ぶときは、誰に向けて書かれたものかを見ます。設問はシステム監査人の行動規範と書いているので、確かめる側の人がどう振る舞うべきかを定めたものが答です。対になる文書は、監査を受ける側が何を整えておくべきかを定めています。二つは名前がよく似ていますが、向いている相手が正反対です。もう一つの見分け方は主語にあります。監査の仕事そのものを主語にしている肢が一つだけで、残りは情報システムや組織体を主語にしています。主語を拾うだけでも一つに決まります。情報セキュリティ管理基準は、また別の分野を受け持つ文書です。名前がよく似た文書が二つあるときは、覚え方を向きで持つと崩れません。確かめる側に向くのか、確かめられる側に向くのか、その一本だけです。名前では分かれません。

ほかの選択肢の解説

• イ システム監査において，情報システムの企画・開発・運用・保守というライフサイクルの中で，リスクを低減するコントロールを適切に整備，運用するための基準を定めたものである。：一生を通して危険を小さくする統制を、整え運用するための基準という説明です。整える側に向いているのでシステム管理基準にあたり、確かめる側の振る舞いを定めたものではありません。一生という語が出たら、整える側の文書を疑います。
• ウ システム監査人が情報処理の現場での管理の適切性を判断するときの尺度として用いるための基準を定めたものである。：現場の管理が適切かどうかを判断するときの物差しという説明です。これも整える側を測るための基準の使われ方であって、監査する人自身の行動規範を述べたものではありません。同じ文書でも、使う場面によって言い方が変わります。
• エ 組織体が効果的な情報セキュリティマネジメント体制を構築し，適切なコントロールを整備して運用するための基準を定めたものである。：組織が情報を守る体制を築くための基準という説明です。情報セキュリティ管理基準にあたり、分野そのものが別のところに置かれています。主語が組織体である点でも分かれます。組織体が主語になっている点で、この肢は当てはまりません。