監査手続とは？かんさてつづき
監査手続とは、監査人が確かめたい事柄（監査要点）ごとに、その裏づけとなる証拠をどこから・どの方法で・どれだけ集めるかを定めて実施する作業である。支援士で問われるのは技法の名前ではなく、提示された監査目的に対して直接の証拠になる作業を選べるかで、アクセス制御なら記録の出力と点検、特権IDなら申請・承認記録と更新ログの突合がそれに当たる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
支援士の科目A-2（旧午前II）は、最終問にシステム監査が例年1問置かれている。扱いはアクセスコントロールの準拠性、特権IDによる直接修正、監査調書、SaaSの責任分界、リスクアプローチと幅があるが、共通しているのは、管理策を設計し運用する側ではなく、後から検証する側に立たせる点である。根拠となる規範も二本立てで、被監査側の実践規範がシステム管理基準、監査人側の行動規範がシステム監査基準にあたる。どちらの文書の話かを取り違えると設問ごと外れる。
具体例
Active Directory の Domain Admins に属する特権IDでデータベースを直接修正している運用を確かめる場面では、運用規程を閲覧するだけでは整備状況しか分からない。Oracle Database の監査証跡や Windows のセキュリティイベントログを出力し、変更申請書の日時・実施者・対象テーブルと1件ずつ突合する。申請の無い更新が残れば、その1件が指摘事項になる。
試験での引っ掛け
誤答は手続の名前ではなく、監査目的の取り違えで起きる。アクセスコントロールの準拠性を確かめる設問で、応答時間の測定、画面の操作性のヒアリング、業務の効率性の確認という選択肢が並ぶ（2016年秋期・科目A-2 問25）。どれも作業としては成立するが、不正アクセスの防止・発見の証拠にはならない。もう一つの型は、効いている統制を指摘事項と取り違えるもので、事前・事後の承認や作業時以外の特権IDの無効化は正常な統制であり、報告すべきなのは更新ログをアプリケーション経由の更新として記録し、直接修正の事実を隠していた場合である。
関連用語
出た過去問
出典：平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
データベースに対する不正アクセスの防止・発見を目的としたアクセスコントロールについて，“システム管理基準”への準拠性を確認する監査手続として，適切なものはどれか…
正解：利用者のデータベースに対するアクセス状況を確認するために，アクセス記録を出力し内容を調査する。
要点：アクセス統制の監査はアクセス記録の点検で行う
不正アクセスの防止と発見を目的としたアクセスコントロールが有効に機能しているかを確かめるには、実際のアクセス記録を入手して内容を点検するのが直接的な監査手続です。効率性や操作性、応答時間の確認は、アクセス統制の準拠性とは目的が異なります。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。