令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問2
マネジメント／システム監査“政府情報システムのためのセキュリティ評価制度（ISMAP）標準監査手続”における“監査の対象となる期間”の記述のうち，適切なものはどれか。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問2
- ア監査の対象となる期間が 1 年を超える場合に限り，ISMAP クラウドサービスリストにおいて監査対象期間を公開しなければならない。
- イ監査の対象となる期間は最大 1 年である。
- ウ監査の対象となる期間を 1 年とする場合，ISMAP クラウドサービスリストにおいて監査対象期間は公開されない。
- エ監査の対象となる期間を 1 年より短くする場合には，1 か月の最低運用期間を経る必要がある。
正解：イ
解説
ISMAP（政府情報システムのためのセキュリティ評価制度）は，政府が調達するクラウドサービスのセキュリティ水準をあらかじめ評価・登録する制度です。ISMAP 標準監査手続では，監査の対象となる期間は最大 1 年と定められており，監査結果が古くなって ISMAP クラウドサービスリストの信頼性が損なわれないようにしています。監査の対象となった期間は，ISMAP クラウドサービスリストで公開されます。
選択肢ごとの解説
- ア誤り。監査の対象となる期間は最大 1 年とされているので，1 年を超える期間を設定すること自体が想定されていません。監査対象期間の公開は期間の長短にかかわらず行われます。
- イ正しい。ISMAP 標準監査手続では，監査の対象となる期間は最大 1 年と定められています。
- ウ誤り。監査の対象となる期間は，1 年とする場合であっても ISMAP クラウドサービスリストにおいて公開されます。
- エ誤り。監査の対象となる期間を 1 年より短く設定することは可能であり，その条件として 1 か月の最低運用期間を経ることが定められているわけではありません。最低運用期間は，登録申請時に管理策の運用実績を確保するための考え方です。