令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問7

解説

JIS Q 27002:2014では，情報システムの監査を実施する際に運用システムへの影響を最小限にするための管理策として，監査要求事項の合意，監査範囲の管理，監査アクセスの制限などを挙げています。特にソフトウェア及びデータへのアクセスを伴うテストについては，読出し専用のアクセスに限定することが望ましいとされており，データの改ざんや意図しない変更を防止します。ログ取得の対象外とすること，運用担当者だけの同意で足りるとすること，可用性に影響し得るテストを営業時間内に実施することは，いずれも管理策の趣旨に反する記述です。

選択肢ごとの解説

• ア誤り。監査のテストであっても，アクセス監視やログ取得の対象外とすることは適切ではなく，監査活動自体も適切に記録・監視されるべきです。
• イ誤り。運用システムやデータへのアクセスに関する合意は，運用担当者に限定せず，適切な管理層の合意を得て実施すべきです。
• ウ誤り。可用性に影響する可能性があるテストは，業務への影響を避けるため，営業時間外に実施することが望ましいとされています。
• エ正しい。監査のテストでソフトウェア及びデータにアクセスする場合は，データの変更を防ぐために読出し専用のアクセスに限定することが望ましいとされています。