システム監査とは？

システム監査の意味

情報システムが組織にとって適切に機能し、リスクが管理されているかを、独立した立場の監査人が検証・評価する活動。

システム監査の具体例

監査人がアクセス権限の管理状況や、開発プロセスの記録が規程どおりに残っているかを確認し、改善が必要な点を指摘する。

システム監査は試験でどう引っ掛けられる？

システム監査人は監査対象の業務に対して独立性（利害関係がないこと）を保つ必要があり、被監査部門から独立した立場でなければならない点が問われやすい。

システム監査と関連する用語

• サービスマネジメント

システム監査が出た過去問

• インシデントの調査やシステム監査にも利用できる、証拠を収集し保全する技法はどれか。

  正解：ディジタルフォレンジックス

  要点：証拠を改変せず収集・保全する技法がフォレンジックス

  ディジタルフォレンジックスは、不正やインシデントの原因究明・法的立証のために、電子的記録を改変せずに収集し、原本性と証拠能力を保ったまま保全・分析する技法である。ログやディスクイメージの取得時にハッシュ値を記録するなど、後から改ざんされていないことを示せる手順を踏む点が特徴である。システム監査でも監査証拠の入手手段として活用できる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）

• システム監査基準（平成16年）における，組織体がシステム監査を実施する目的はどれか。

  正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。

  要点：システム監査はコントロールを評価しITガバナンスに寄与する

  システム監査は、情報システムにまつわるリスクに対するコントロールが適切に整備・運用されているかを独立した立場で評価し、問題があれば改善につなげることを目的とする。これによりITガバナンスの実現に寄与する。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）

• システム監査人が、監査報告書の原案について被監査部門と意見交換を行う目的として、最も適切なものはどれか。

  正解：監査報告書に記載する指摘事項及び改善勧告について、事実誤認がないことを確認するため

  要点：報告書原案の意見交換は事実誤認の確認が目的

  監査報告書の原案を被監査部門と意見交換する目的は、指摘事項や改善勧告の前提となる事実に誤認や理解の食い違いがないかを確かめることにある。監査人の独立性は保たれる必要があるため、被監査部門の承認を得たり、意見交換を追加調査の代わりにしたりすることは許されない。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問38（IPA）

• システム監査において，電子文書の真正性の検証に電子証明書が利用できる公開鍵証明書取得日，電子署名生成日及び検証日の組合せはどれか。なお，公開鍵証明書の有効期間は…

  正解：公開鍵証明書取得日2015年4月1日，電子署名生成日2015年5月1日，検証日2018年12月1日

  要点：署名生成日と検証日の両方が証明書の有効期間内であること

  電子署名の検証に公開鍵証明書を使うには、署名を生成した時点でその証明書が有効期間内であり、かつ検証を行う時点でも有効期間内にある必要がある。有効期間を4年とすると、2015年4月1日取得の証明書は2019年3月末ごろまで有効なので、2015年5月1日の署名生成も2018年12月1日の検証も期間内に収まる。他の組合せは、検証日が期間を過ぎているか、署名生成日が証明書の取得より前になっていて成立しない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）

• システム監査において，監査証拠となるものはどれか。

  正解：システム監査チームが被監査部門から入手したシステム運用記録

  要点：監査証拠は結論の裏付けとなる客観的な事実の記録

  監査証拠は、監査人の意見や結論の裏付けとなる客観的な事実の記録であり、被監査部門から入手した運用記録などがこれに当たる。一方、監査計画書や監査チーム内の議事録、報告書に記した指摘事項は、監査人自身が作成した文書であって証拠そのものではない（一部は監査調書に位置付けられる）。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）