IPA 対象別の監査着眼点・指摘事項 — 頻出論点と過去問

頻出論点

1. この分野は何か

監査報告書の指摘事項は、監査人の好みや感想ではなく、照らし合わせる管理項目から外れた状態を書き留めたものです。照らし合わせる項目は、システム管理基準や情報セキュリティの規格の管理策から取られています。

2. 実際の出題のされ方

監査で判明した4つの状況の中から、監査報告書に指摘事項として記載すべき不適切なものを1つ選ぶ形式と、反対に適切な管理状態や監査のチェックポイントを1つ選ぶ形式の2つが中心です。応用情報技術者の午前では、入出力データの管理方針、ログ管理、マスタファイル管理で可用性に当たる項目、事業継続計画（BCP）の運用状況について、適切なものを選ぶ問題が出ています。同じ区分には、ユーザ受入テストやアジャイル開発の監査の着眼点を選ぶ問題、ISMS内部監査やマルウェア対策の監査で指摘事項を選ぶ問題もあります。

セキュリティ管理策や特権操作、クラウド利用に関する監査は、情報処理安全確保支援士の午前IIで問われています。ソフトウェア開発プロセスにおけるセキュリティ確保の取組や、データベースの直接修正に関して指摘事項を選ぶ問題が出ています。また、被監査企業がSaaSを利用している場合に被監査企業の監査人がアクセスコントロールを評価できるIDを選ぶ問題、クラウドサービス導入検討の監査で情報の保全と消失予防のチェックポイントを選ぶ問題も出題されています。

システム監査技術者とITサービスマネージャの午前IIでは、令和5年版と平成30年版のシステム管理基準や、プライバシーマークの要求に照らした判断を試す出題があります。稼働後評価と報告の達成状況を確かめる観点を選ぶ問題のほか、AIシステムが読み込む学習データの管理、個人情報管理台帳の取扱い、ITガバナンスにおける情報システムの資源管理について、監査人が指摘事項として記載すべき状況を選ぶ問題が出ています。

3. 学習のポイント

システム管理基準（令和5年）は、企画・開発・運用などのプロセスごとに達成目標を掲げており、監査で確かめる観点はその目標から導かれます。ある観点がどのプロセスの目標に当たるかを見れば、問われた段階に合う観点かどうかが分かります。

運用やデータの扱いの監査では、データの中身に責任を持つ部署が決めるべきことを情報システム部門だけで決めていないか、後から経緯をたどれる記録が改ざんされずに残っているかを軸に見ます。

外部のサービスを使う業務の監査で、利用する会社の監査人が自社の側から直接確かめられるのは、自社が設定し管理している部分です。

4. 間違えやすいところ

システム管理基準（令和5年）の稼働後評価と報告の観点を選ぶ問題では、実現可能性と効果を分析した前提と結果が妥当かを確かめる観点を挙げた誤答肢がありました。実現可能性や効果の分析の妥当性を確かめるのは、システムを作る前の企画段階の観点です。

ユーザ受入テストの監査のチェックポイントとして、構成要素の一つ一つを中間成果物までさかのぼって見直すことを持ち出した誤答肢がありました。構成要素ごとの見直しは、システム管理基準（令和5年）では、システム要件を反映しているかを確かめる検証の段階で行う確認です。

BCPの監査で適切な状況を選ぶ問題では、「平時にはBCPを従業員に非公開としている」とする誤答肢がありました。計画を従業員に見せない扱いは機密の文書を守るときのやり方で、緊急時に全員が従う計画の扱い方とは逆です。

マスタファイル管理の監査項目から可用性に該当するものを選ぶ問題では、「マスタファイルへのデータ入力チェック機能が，システムに盛り込まれていること」とする誤答肢がありました。入力チェックでデータの正確さや正当性を保つのは、完全性を確保するための項目です。