平成24年度 春期 システム監査技術者試験 午前Ⅱ 問4
マネジメント／システム監査“JIS Q 27001：2006”の管理策を参考にして設定した，ノート型PCに対する物理的セキュリティ対策の妥当性を確かめるための監査手続はどれか。
出典：平成24年度 春期 システム監査技術者試験 午前Ⅱ 問4
- アオフィス内を視察し，不在者のノート型PCが施錠されたキャビネットに保管されていることを確認する。
- イ管理ルールを調べ，ノート型PCを社外に持ち出す場合には，セキュリティ管理者の許可を得るルールになっていることを確認する。
- ウ教育計画及び教育記録を閲覧し，ノート型PCの安全管理についての社員教育が適切に行われていることを確認する。
- エ実際にノート型PCを操作して，パスワードを入力しないと利用可能にならない仕組みになっていることを確認する。
正解：ア
解説
物理的セキュリティ対策の妥当性を確かめるための監査手続としては，実際にオフィス内を視察し，規程どおりに施錠保管などが行われているかどうかを目視で確認する実地調査が最も適合します。ルールの存在確認や教育の実施確認だけでは，実際の運用状況（妥当性）まで確かめることはできません。
選択肢ごとの解説
- ア正しい。オフィス内を視察し，不在者のノート型PCが施錠されたキャビネットに保管されていることを確認することが，物理的セキュリティ対策の妥当性を確かめる監査手続として適切です。
- イ誤り。管理ルールの内容を調べることは規程の存在確認にとどまり，実際に物理的対策が講じられているかどうかの妥当性の確認としては不十分です。
- ウ誤り。教育計画及び記録の閲覧は，社員教育の実施状況の確認であり，物理的セキュリティ対策そのものの妥当性の確認にはなりません。
- エ誤り。パスワード入力の確認は，論理的（技術的）アクセス制御に関する確認であり，物理的セキュリティ対策の確認ではありません。