令和7年度 秋期 応用情報技術者試験 午前 問60

システム監査基準（令和5年）において、システム監査は監査目的に基づき、ガバナンス、マネジメント、コントロールの3つの視点から検証・評価を行います。

各視点の定義は以下の通りです。

• ガバナンスの視点：経営陣が組織の目的を達成するために、IT戦略の策定、IT投資の評価、新技術の活用など、組織全体のITガバナンスが有効に機能しているかを評価します。
• マネジメントの視点：管理者がITプロセスを適切に計画・構築・運用・監視しているか、すなわちPDCAサイクルなどの管理活動が有効に機能しているかを評価します。
• コントロールの視点：日々の業務やITシステム内に組み込まれた統制手続き（チェック機能、アクセス制御、障害対応のルールなど）が、設計通りに適切に実施されているかを評価します。

「異常なアクセスを検出した際に適時に対処及び報告がなされているか」は、日々の業務プロセスにおいて実施される具体的なセキュリティ統制活動（手続き・ルール）に関するものであるため、コントロールの視点からの検証・評価項目に該当します。

各選択肢の解説

• ア：IT投資の結果が適切なリターンを生んでいるか。
  経営層によるIT投資の評価に関する項目であるため、ガバナンスの視点に該当します。
• イ：異常なアクセスを検出した際に適時に対処及び報告がなされているか。
  （正解） 日々の業務プロセスにおける具体的な統制手続きの実施状況に関する項目であるため、コントロールの視点に該当します。
• ウ：情報セキュリティ対策がPDCAサイクルに基づいて適切に管理されているか。
  PDCAサイクルに基づいた管理活動に関する項目であるため、マネジメントの視点に該当します。
• エ：新技術や技術革新を経営戦略推進のために適時適切に利活用できているか。
  経営戦略と連動したITの利活用に関する項目であるため、ガバナンスの視点に該当します。