システム監査とは？

システム監査の意味

情報システムの信頼性・安全性・効率性を、独立した立場の監査人が点検・評価し、改善を助言する活動。監査計画の策定、予備調査、本調査、評価・結論、報告とフォローアップの手順で進める。

システム監査の具体例

特権IDの共有が疑われ、情報システム部から独立した内部監査部門が実施した。予備調査で申請書と付与実績を突合し、本調査でサーバ30台の設定を抽出したところ、退職者2名のIDが残っていた。3か月後のフォローアップで削除完了を確認した。

システム監査は試験でどう引っ掛けられる？

監査人には外観上も含めた独立性が求められる（自分が構築に関与した仕組みは監査できない）。監査の実施過程と結論の根拠を記録した文書が監査調書。リスクの大きい領域に資源を重点配分する進め方がリスクアプローチ。

システム監査と関連する用語

• 内部監査
• 監査証跡
• システム管理基準

システム監査が出た過去問

• 株式会社の内部監査におけるシステム監査を，システム監査基準（平成16年）に基づいて実施する場合の監査責任者及びメンバに関する記述のうち，適切なものはどれか。

  正解：あるメンバを，当該メンバが過去に在籍していた部門に対する監査に従事させる場合，一定の期間を置く。

  要点：システム監査人には外観も含めた独立性が求められる

  システム監査では監査人の独立性と客観性が求められ、外観上も疑いを持たれないことが重要である。過去に在籍していた部門を監査する場合は、自らが関与した業務を評価することになりかねないため、一定の期間を置いてから従事させるのが適切とされる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）

• データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションの機能を経由せずに,特権IDを使用…

  正解：更新ログを加工して,アプリケーションの機能を経由した正常な処理によるログとして残していた。

  要点：特権IDの直接修正はログの偽装こそ重大な統制違反

  特権IDによる直接修正は、アプリケーションの統制を迂回する行為であるため、申請・承認と作業記録の保全が統制の要となる。更新ログを書き換えて通常処理を装っていたのであれば、実施した事実そのものを隠蔽したことになり、証跡の信頼性が失われて事後の検証も不可能になる。これは統制上の重大な欠陥であり、監査人が指摘すべき事項である。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）

• システム監査における監査調書の説明として，適切なものはどれか。

  正解：監査人が，実施した監査のプロセスを記録したもの

  要点：監査調書は監査人が監査の実施過程を記録した文書

  監査調書は、監査人が監査の実施過程と入手した証拠、そこから導いた判断を記録した文書である。監査意見の裏付けとなり、後から監査の妥当性を検証できるようにする役割を持つため、監査人自身が作成し保管する。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問25（IPA）

• クラウドサービスの導入検討プロセスに対するシステム監査において、クラウドサービス上に保存されている情報の保全及び消失の予防に関するチェックポイントとして、最も適…

  正解：クラウドサービスを提供する事業者が信頼できるか、事業者の事業継続性に懸念がないか、及びサービスが継続して提供されるかどうかが検討されているか。

  要点：クラウドのデータ消失予防は事業者の継続性確認が要

  クラウド上のデータを守るうえで、利用者が自力ではどうにもできない最大のリスクは、事業者の破綻やサービス終了によってデータへ到達できなくなることである。導入検討の段階では、事業者の信頼性と事業継続性、サービスが継続提供される見込み、終了時のデータ返却手段までを確認しておく必要がある。情報の保全と消失予防という観点に最も直結する点検項目である。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）

• 被監査企業がSaaSをサービス利用契約して業務を実施している場合,被監査企業のシステム監査人がSaaSの利用者環境からSaaSへのアクセスコントロールを評価でき…

  正解：アプリケーションの利用者ID

  要点：SaaSで監査できるのは自組織が管理するアプリ利用者ID

  SaaSでは、OS、ミドルウェア、ストレージなどの基盤はすべて提供者が管理し、利用者に管理権限は与えられない。利用者環境から評価できるのは、自組織が付与・変更・削除を行えるアプリケーションの利用者IDと、その権限設定や棚卸しの運用である。責任分界を踏まえ、監査の対象範囲を見極めることが要点となる。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）