情報システムのインシデント管理に対する監査で判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アインシデント対応手順が作成され，関係者への周知が図られている。
• イインシデントによってデータベースが被害を受けた場合の影響を最小にするために，規程に従ってデータのバックアップをとっている。
• ウインシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。
• エ全てのインシデントについて，インシデント記録を残し，責任者の承認を得ることが定められている。

正解と解説

正解：ウ インシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。

インシデント管理では、事象の種類や発生箇所、影響の大きさに応じて連絡先と報告の経路を分け、重大なものを速やかに責任者へ引き上げる必要があります。すべて同じルートに流す運用では、緊急度の高いインシデントが埋もれて対応が遅れるため、監査人は不備として指摘すべきです。他の三つは望ましい状態です。

選択肢ごとの解説

• ア対応手順が整備され周知されているのは望ましい状態です。
• イ規程に沿ったバックアップの取得も適切な運用です。
• ウ正解。影響度に関係なく連絡・報告ルートが一律である点が指摘対象です。
• エ記録を残し責任者の承認を得る取決めがあるのは適切です。

この問題に出た用語

• インシデント管理

同じ分野の他の問題

• システム監査におけるフォローアップの説明として、適切なものはどれか。2026年度 公開問題 科目A・B 問8
• 内部統制の基本的要素の一つである“統制活動”に該当するものはどれか。2024年度 公開問題 科目A・B 問8
• A社は従業員600名の投資コンサルティング会社である。東京の本社には、情報システム部、監査部などの管理部門があり、関西に…2022年度 公開問題 科目A・B 問57
• 我が国の証券取引所に上場している企業において、内部統制の整備及び運用に最終的な責任を負っている者は誰か。2022年度 公開問題 科目A・B 問37
• アクセス制御を監査するシステム監査人の行為のうち、適切なものはどれか。2019年度 秋期 午前 問40