令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問3

解説

システム管理基準（平成30年）の前文では，同基準が大企業だけでなく中小企業を含む幅広い組織の情報システム化戦略の策定や実践に関する自己診断及び監査に利用できるものであることを明示しています。同基準は目指すべき理想的な姿を体系化したものであり，組織の実情に応じて必要な項目を選択して活用すべきものとされ，全項目を網羅的に適用することを強制するものではありません。情報セキュリティに関する事項も本基準に含まれており，情報セキュリティ管理基準だけに限定して監査・管理を行うべきとする規定もありません。

選択肢ごとの解説

• ア誤り。同基準は，組織の状況に応じて必要な項目を選択して活用することを想定しており，網羅的な適用を義務付けるものではありません。
• イ誤り。情報セキュリティに関する管理項目もシステム管理基準に含まれており，情報セキュリティ管理基準に限定して監査・管理を実施しなければならないとする規定はありません。
• ウ正しい。システム管理基準は，大企業だけでなく中小企業向けの情報システム化戦略，情報システム化実践に関わる適切な自己診断及び監査にも使用できるとされています。
• エ誤り。独自の管理基準を策定する場合には，組織の実態に即して必要な項目を取捨選択することが求められており，同基準の項目をそのまま採用することを推奨しているわけではありません。