令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問6
マネジメント／システム監査JIS Q 27002:2024（情報セキュリティ管理策）では，運用システムに対する監査活動の影響を最小限にするための管理策及び実施の手引を定めている。その中で守ることが望ましい事項として，最も適切なものはどれか。
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問6
- ア運用システムに影響を与えないよう，監査におけるテストを目的としたアクセスについては，監視やログ取得の対象外とする。
- イ運用システムや当該システム上のデータへのアクセスに関する監査要求事項については，当該システムの運用担当者に限定して同意を得る。
- ウ監査におけるテストがシステムの可用性に影響する可能性がある場合は，当該テストを営業時間内に実施する。
- エ監査におけるテストでソフトウェア及びデータにアクセスする場合は，読出し専用のアクセスに限定する。
正解：エ
解説
JIS Q27002:2024の管理策では，情報システムの監査テストが運用に与える影響を最小限にするための実施の手引が示されています。具体的には，監査人が運用システムのソフトウェアやデータにアクセスする場合は，読出し専用のアクセスに限定することが望ましいとされており，書込みや変更を伴うアクセスは原則として避けるべきとされています。
選択肢ごとの解説
- ア誤り。監査目的のアクセスであっても，監視やログ取得の対象から除外すべきではなく，むしろ追跡可能性を確保するために記録すべきです。
- イ誤り。運用担当者だけに同意を限定するのではなく，適切な管理層（マネジメント）の合意を得ることが求められます。
- ウ誤り。可用性に影響する可能性があるテストは，むしろ営業時間外に実施することが望ましいとされています。
- エ正しい。監査におけるテストでソフトウェア及びデータにアクセスする場合は，読出し専用のアクセスに限定することが望ましい事項です。