情報セキュリティマネジメント 令和元年度 秋期 午前 問40

✓ これが正解イ データに関するアクセス制御の管理規程を閲覧した。

解説

監査人は業務を行わず、規程を閲覧して確かめるのが適切です。

システム監査人は、監査の対象となる業務から独立していなければなりません。もし監査人自身が台帳を作ったり、方針を決めたり、運用を実施したりすると、自分のした仕事を自分で監査することになり、客観的に評価できなくなります。だから監査人がしてよいのは、資料を集めて確かめることです。データに関するアクセス制御の管理規程を閲覧するのは、まさにこの範囲にとどまる適切な行為です。

ほかの選択肢の解説

• ア ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。：アクセス制御の管理台帳を作成して保管するのは、監査の対象となる部門が行う業務です。監査人がこれを行うと自分の作った記録を監査することになり、独立性を保てないので適切ではありません。
• ウ ネットワークに関するアクセス制御の管理方針を制定した。：アクセス制御の管理方針を制定するのは、組織側が担う業務です。監査人が方針そのものを定めてしまうと、自分が決めたことを監査する立場になり、独立性が損なわれるため適切ではありません。
• エ ハードウェアに関するアクセス制御の運用手続を実施した。：アクセス制御の運用手続を実施するのは、監査の対象となる部門の業務です。監査人が運用そのものを行うと、自分の作業を自分で評価することになり、客観的な監査ができないため適切ではありません。