平成26年度 秋期 ITパスポート試験 問83
テクノロジ／セキュリティ社内のISMS活動の一環として，サーバのセキュリティについて監査を行うことになった。最初に実施することとして，適切なものはどれか。
出典：平成26年度 秋期 ITパスポート試験 問83
- ア監査の計画書を作成する。
- イサーバのセキュリティ設定を見直す。
- ウ全てのサーバの監査用ログの所在を確認する。
- エ脆弱性検査ツールを利用して，サーバの脆弱性を確認する。
正解：ア
解説
監査は，まず何を，いつ，どのような方法で行うかを決める計画（監査計画書の作成）から始めます。計画に基づいて，ログの所在の確認や脆弱性の確認などの調査（監査手続）を行い，その結果を踏まえて設定の見直しなどの改善に進みます。
選択肢ごとの解説
- ア正しい。監査では，最初に目的・対象・方法などを定めた計画書を作成します。
- イ誤り。設定の見直しは，監査で問題点が見つかった後に行う改善の作業です。
- ウ誤り。ログの所在の確認は，計画に基づいて行う調査の作業で，最初に行うことではありません。
- エ誤り。脆弱性の確認も，計画に基づいて行う調査の作業で，最初に行うことではありません。