平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25
マネジメント／システム監査ある企業が，自社が提供する Web システムのセキュリティについて，外部監査人による保証を受ける場合において，IT に係る保証業務の“三当事者”のそれぞれに該当する者の組合せは，次の表の A～D のうちどれか。 〔IT に係る保証業務の“三当事者”〕 A：保証業務の実施者＝Web システム利用者，セキュリティに責任を負う者＝外部監査人，保証報告書の想定利用者＝当該企業の経営者 B：保証業務の実施者＝外部監査人，セキュリティに責任を負う者＝Web システム利用者，保証報告書の想定利用者＝当該企業の経営者 C：保証業務の実施者＝外部監査人，セキュリティに責任を負う者＝当該企業の経営者，保証報告書の想定利用者＝Web システム利用者 D：保証業務の実施者＝当該企業の経営者，セキュリティに責任を負う者＝外部監査人，保証報告書の想定利用者＝Web システム利用者 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25
- アA
- イB
- ウC
- エD
正解：ウ
解説
IT に係る保証業務における“三当事者”とは，一般に，保証業務を実際に行う「保証業務の実施者（外部監査人）」，保証の対象となる事項に責任を負う「責任者（この場合，Web システムのセキュリティに責任を負う当該企業の経営者）」，保証報告書を利用する「想定利用者（この場合，Web システムの利用者）」の三者を指します。
選択肢ごとの解説
- ア誤り。保証業務の実施者は Web システム利用者ではなく，独立した第三者である外部監査人が務めます。
- イ誤り。Web システムのセキュリティに責任を負うのは Web システム利用者ではなく，サービスを提供する当該企業の経営者です。
- ウ正しい。保証業務の実施者は外部監査人，セキュリティに責任を負う者は当該企業の経営者，保証報告書の想定利用者は Web システム利用者とする組合せが，IT に係る保証業務の三当事者の関係に合致します。
- エ誤り。保証業務の実施者は当該企業の経営者ではなく，独立した第三者である外部監査人が務めるべきです。