システム監査の目的（信頼性・安全性・効率性）とは？

システム監査の目的（信頼性・安全性・効率性）の意味

情報システムが組織の目標達成に役立っているかを、信頼性（正しく動き続けるか）、安全性（守られているか）、効率性（無駄なく使われているか）といった観点で点検し、改善につなげること。

システム監査の目的（信頼性・安全性・効率性）の具体例

受注システムの監査で、金額計算に誤りが無いか（信頼性）、権限のない者が単価を書き換えられないか（安全性）、夜間バッチが時間内に終わり資源が過剰でないか（効率性）を分けて確かめていく。

システム監査の目的（信頼性・安全性・効率性）は試験でどう引っ掛けられる？

目的は「不正の摘発」や「担当者の処罰」ではなく、リスクを抑えて経営に貢献することにある。準拠性（法令・社内規程に従っているか）を加えた枠組みで問われることもある。

システム監査の目的（信頼性・安全性・効率性）と関連する用語

• システム監査
• システム監査基準
• 可監査性

システム監査の目的（信頼性・安全性・効率性）が出た過去問

• ITILでは，可用性管理における重要業績評価指標（KPI）の例として，保守性を表す指標値の短縮を挙げている。この指標に該当するものはどれか。

  正解：平均サービス回復時間

  要点：保守性は平均復旧時間、信頼性は平均故障間隔で測る

  保守性は、障害が起きたときにどれだけ速く復旧できるかを表す性質である。したがって指標は復旧に要した時間の平均であり、これが短いほど保守性が高い。平均故障間隔などは故障までの長さを表す信頼性の指標であり、短縮すべき値ではない。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問57（IPA）

• “システム管理基準”に基づいて，システムの信頼性，安全性，効率性を監査する際に，システムが不正な使用から保護されているかどうかという安全性の検証項目として，最も…

  正解：アクセス管理機能の検証

  要点：不正使用からの保護はアクセス管理機能で確認する

  システムが不正な使用から守られているかという安全性の観点では、誰がどの資源にアクセスできるかを制御する仕組みが適切に働いているかを確かめる必要がある。したがってアクセス管理機能の検証が該当する。フェールソフトやフォールトトレラント、リカバリは、いずれも障害に対する信頼性・可用性の観点の項目である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問58（IPA）

• 外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が…

  正解：委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。

  要点：機密媒体の外部搬送には施錠・封印など物理的保護が必要

  機密情報を含む媒体を外部に持ち出す際は、内容の秘匿と改ざん・すり替えの防止のため、施錠できる搬送容器や封印など物理的な保護策が必要である。段ボール箱に入れただけでは中身を容易に取り出せてしまうため、安全性が確保されておらず指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問59（IPA）

• 我が国の証券取引所に上場している企業において，内部統制の整備及び運用に最終的な責任を負っている者は誰か。

  正解：経営者

  要点：内部統制の整備・運用の最終責任者は経営者

  内部統制は、業務の有効性・効率性、財務報告の信頼性、法令遵守、資産の保全を達成するために組織内に整備・運用される仕組みであり、その整備と運用に最終責任を負うのは経営者である。監査役や取締役会はこれを監視・監督する立場にある。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問60（IPA）

• 事業継続計画で用いられる用語であり、インシデントの発生後、次のいずれかの事項までに要する時間を表すものはどれか。(1) 製品又はサービスが再開される。(2) 事…

  正解：RTO

  要点：RTOは再開までの時間目標、RPOは戻すデータの時点目標

  RTOは目標復旧時間で、障害発生から業務やサービスを再開させるまでに許容できる時間の目標を表す。これに対しRPOは目標復旧時点で、どの時点のデータまで戻すことを許すかという「時間軸上の位置」を示す指標である。MTBFとMTTRは信頼性・保守性の指標で、事業継続計画の目標値ではない。

  出典：令和1年度 秋期 基本情報技術者試験 午前 問57（IPA）