平成23年度 特別 システム監査技術者試験 午前Ⅱ 問5
マネジメント／システム監査情報システムのコントロールの評価を整備状況の評価と運用状況の評価に分けたとき，ユーザのシステムへのログインパスワード管理について，運用状況の評価に該当するものはどれか。
出典：平成23年度 特別 システム監査技術者試験 午前Ⅱ 問5
- アシステム仕様書の承認ルールを閲覧して，パスワード管理方針に基づいた設計が行われていることを確認する。
- イシステム部門の責任者への質問によって，パスワード管理に関する会社の方針を確認する。
- ウパスワード管理マニュアルを閲覧して，パスワード設定ルールを確認する。
- エパスワードを管理しているファイルから抽出したサンプルについて，パスワードの設定状況を確認する。
正解：エ
解説
コントロールの評価は，規程やルールが適切に定められているかを確かめる「整備状況の評価」と，そのルールどおりに実際に運用されているかを確かめる「運用状況の評価」に分けられます。ログインパスワード管理については，実際に運用されているデータからサンプルを抽出し，設定状況を確かめることが，運用状況の評価に該当します。
選択肢ごとの解説
- ア誤り。システム仕様書の承認ルールを閲覧して設計内容を確認することは，整備状況の評価に該当します。
- イ誤り。責任者への質問によって会社の方針を確認することは，整備状況の評価に該当します。
- ウ誤り。パスワード管理マニュアルを閲覧して設定ルールを確認することは，整備状況の評価に該当します。
- エ正しい。パスワードを管理しているファイルから抽出したサンプルについて，実際の設定状況を確認することは，運用状況の評価に該当します。