令和元年度 秋期 情報セキュリティマネジメント試験 午前 問40
マネジメント／システム監査アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問40
- アソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
- イデータに関するアクセス制御の管理規程を閲覧した。
- ウネットワークに関するアクセス制御の管理方針を制定した。
- エハードウェアに関するアクセス制御の運用手続を実施した。
正解：イ
解説
システム監査人は独立性を保つ必要があり、管理台帳の作成や運用手続の実施、管理方針の制定など、監査対象の業務そのものを行ってはならず、資料の閲覧などの客観的な検証活動にとどめる必要があります。
選択肢ごとの解説
- ア誤り。管理台帳の作成・保管は監査対象部門が行うべき業務であり、監査人自身が行うと独立性を損ないます。
- イ正しい。データに関するアクセス制御の管理規程を閲覧して確かめることは、監査人として適切な検証行為です。
- ウ誤り。管理方針の制定は監査対象部門の業務であり、監査人が行うべきではありません。
- エ誤り。運用手続の実施は監査対象部門の業務であり、監査人が行うと独立性を損ないます。