平成30年度 秋期 情報セキュリティマネジメント試験 午前 問38
マネジメント／システム監査外部委託管理の監査に関する記述のうち，最も適切なものはどれか。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問38
- ア請負契約においては，委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて，アクセス管理が妥当かどうかを，委託側が監査できるように定める。
- イ請負契約においては，受託側要員に対する委託側責任者の指揮命令が行われていることを，委託側で監査する。
- ウ外部委託で開発した業務システムの品質管理状況は，委託側で監査せず，受託側で監査する。
- エ機密性が高い業務システムの開発を外部に委託している場合は，自社開発に切り替えるよう，監査結果の報告において改善勧告する。
正解：ア
解説
請負契約では、委託側の事務所で作業を行う受託側要員であっても、システムへのアクセス管理が妥当かどうかを委託側が監査できるように定めておくことが、外部委託管理の監査の観点から適切です。
選択肢ごとの解説
- ア正しい。受託側要員のアクセス管理が妥当かどうかを委託側が監査できるように定めることが適切です。
- イ誤り。請負契約では、委託側責任者が受託側要員に直接指揮命令を行うと偽装請負に該当するおそれがあり、それを委託側で監査するという記述は適切ではありません。
- ウ誤り。外部委託した業務システムの品質管理状況についても、委託側が監査できるようにしておくべきです。
- エ誤り。機密性が高いことを理由に一律で自社開発への切替えを勧告することは、外部委託管理の監査として適切ではありません。