システム監査技術者試験の過去問
2025年度 秋期 午前II 25問
- 問1監査プログラムは個々の監査ではなく一定期間の監査全体を束ねる取決め
- 問2稼働後評価は投資効果と業務実現度を客観的情報で裏づけたかを見る
- 問3リスクの大きさは発生可能性（脅威×脆弱性）と影響度の組合せで測る
- 問4監査基準は監査のやり方、管理基準は評価の物差しを示す
- 問5監査品質の維持向上には外部の独立した専門家による定期的評価が有効
- 問6運用システムへの監査アクセスは読出し専用に限定するのが原則
- 問7保証型と助言型に共通するのは調書に基づく合理的な結論形成
- 問83線モデルは現業が第1、リスク管理が第2、内部監査が第3ライン
- 問9開発保守や運用の管理は全般統制、個別データの処理統制は業務処理統制
- 問10全般統制は共通IT基盤の単位、業務処理統制は業務プロセス単位で評価
- 問11Redmineはチケットで状態遷移とワークフローを管理するOSS
- 問12フェールソフトは障害時に機能を縮退させてでも継続させる考え方
- 問13差止請求は侵害者だけでなく侵害のおそれがある者にも行使できる
- 問14PIAは個人情報処理のプライバシー影響を評価し対応を計画するプロセス
- 問15集団思考は結束の強い集団が批判を欠き不合理な合意に至る現象
- 問16SL理論は部下の成熟度に応じてリーダーの関与を段階的に減らす
- 問17SAMLは認証・属性・認可情報をドメイン間で受け渡しSSOを実現する
- 問18サイバーセキュリティ概念の五属性は識別・防御・検知・対応・復旧
- 問19リスク対応はアセスメント後にリスクを修正するプロセス
- 問20CASBは利用者側でクラウド利用を可視化しシャドーITを特定する
- 問21多対1の側は1件しか結べない。多重度の上限違反を見抜く
- 問22NTPはUDP。信頼性重視のFTP・POP3・TELNETはTCP
- 問23受入れテストは利害関係者要件と利用適合性を顧客とともに確認する
- 問24IPランドスケープは知財情報と経営情報を統合し経営層と共有する分析
- 問25PESTは政治・経済・社会・技術で外部マクロ環境を捉える枠組み
2024年度 秋期 午前II 25問
- 問1監査員には監査チームリーダーが含まれ、専門家や依頼者は含まれない
- 問2デューデリジェンスは買収判断のため対象の価値とリスクを事前評価する
- 問3承認統制の運用検証は実際の帳票に残る承認証跡の確認が直接的
- 問4マネジメントの視点はPDCAによる組織的な管理が機能しているかを見る
- 問5試査は一部抽出の検証から母集団全体を推定する方法（精査の対）
- 問6統制活動は経営者の指示を確実に実行させるための方針と手続
- 問7指摘事項は意見交換会などで事実確認をしてから報告書に記載する
- 問8監査計画は網羅性と効率性を両立させ有効な監査を実現するために要る
- 問9内部統制報告制度が求めるIT統制は財務報告の信頼性に関わる範囲
- 問10統制環境は組織の気風を決める土台で、組織構造や慣行を含む
- 問11JIS Q 20000-1はSMSの確立と継続的改善に関する組織への要求事項
- 問12発生防止は排除・代替化・容易化、発生後の備えが異常検出と影響緩和
- 問13プログラムの職務著作は法人名義での公表要件が不要とされている
- 問14ホイッスルブローイングは不正を外部に知らせる内部告発を指す
- 問15適格請求書は区分記載に登録番号・適用税率・税率別消費税額を加える
- 問16リーダーシップに唯一最適はなく状況との適合で有効性が決まる
- 問17CPSは認証局が証明書の発行から失効までの運用手順を定めた規定
- 問18オープンリダイレクトは正規URLを装い外部の偽サイトへ転送させる
- 問19CRYPTRECは暗号技術の安全性評価と推奨暗号リストの策定を担う
- 問20pingはICMPを用いるため遮断するにはICMPを通過禁止にする
- 問21自然結合は共通列で等結合し、その共通列を1回だけ出力する
- 問22SANはLANと分離した専用高速網でサーバとストレージを接続する
- 問23性能効率性は消費資源との関係で評価される性能の度合い
- 問24VRIOは価値・希少性・模倣困難性・組織で経営資源の優位性を評価する
- 問25アンゾフは製品と市場の二軸で成長の方向性を四つに整理する
2023年度 秋期 午前II 25問
- 問1AI監査では学習データの信頼性を検証しているかが要点
- 問2ISMAPの監査対象期間は最大1年が上限
- 問3監査プログラムは一定期間の監査群をまとめた取決め
- 問4予備調査は資料閲覧で監査対象の実態を把握する段階
- 問5結論表明には合理的根拠を得るまで手続を続ける
- 問6監査調書は規程に従い整理保管しアクセスを限定する
- 問7十分＝量、適切＝適合性と証明力という質を指す
- 問8IT全般統制は開発・変更・運用・アクセスの基盤統制
- 問9事後の残高異常検知には比率の期間比較が有効
- 問10開発工程のレビューは全般統制、入出力検証は業務処理統制
- 問11CSFで目的、KPIで測定、SLOで水準を順に定める
- 問12TCOは初期費用と年間費用×使用年数の合計で比較する
- 問13フェアユースは公正な目的の利用を侵害としない一般条項
- 問14特定DPF提供者は毎年度、経産大臣へ運営報告書を提出する
- 問15契約不適合責任では追完・減額・賠償・解除を請求できる
- 問16SL理論は部下の成熟度で有効なリーダー型が変わるとする
- 問17CPSは認証局が認証業務の運用手順を定めた文書
- 問18J-CSIPは攻撃情報を集約・共有して対策に生かす取組
- 問19リスク評価は分析結果をリスク基準と比べ受容可否を決める
- 問20クリプトジャッキングは他人の資源を無断でマイニングに使う
- 問21集約される側の表が、集約する側への参照制約を持つ
- 問22リンクアグリゲーションは複数ポートを1本の論理リンクに束ねる
- 問23持ち回り＝ラウンドロビン、公式評価＝インスペクション
- 問24ファイブフォースの中心は既存業者間の敵対関係
- 問25不協和低減型は関与が高く差が見えにくく購入後に迷う
2022年度 秋期 午前II 25問
- 問1デューデリジェンスは買収判断のため対象の価値とリスクを事前評価する
- 問2試査は一部抽出の検証から母集団全体を推定する方法（精査の対）
- 問3システム管理基準は中小企業も含め実情に応じ取捨選択して使う参考項目
- 問4フォローアップは改善提案の実施状況を監査人が継続的に確認する活動
- 問5意見の不一致が調査不足なら追加手続で証拠を補い結論を導く
- 問6個人情報管理台帳は定期的および変更の都度の見直しが必要
- 問7運用システムへの監査アクセスは読出し専用に限定するのが原則
- 問8ITガバナンスの原則は責任・戦略・取得・パフォーマンス・適合・人間行動
- 問9統制活動は経営者の指示を確実に実行させるための方針と手続
- 問10IT全般統制が有効なら自動化統制は反復性が担保され評価を簡素化できる
- 問11前払式支払手段の発行者の情報保護措置を定めるのは資金決済法
- 問12ウォームスタンバイは待機系起動とデータ最新化を経て復旧する方式
- 問13世代交代時は旧世代が残るテープを再利用できず余分な容量が要る
- 問14PIAはPII処理のプライバシー影響を事前に評価し対応を計画するプロセス
- 問15通信販売の広告に価格・支払・引渡し・解除の表示を課すのは特定商取引法
- 問16コンティンジェンシー理論は最適な組織形態が環境に依存するとみる
- 問17AESは共通鍵暗号で、段数は鍵長128/192/256に応じて決まる
- 問18公開鍵暗号は1人1対で足り、n人なら鍵は2n個で済む
- 問19ビヘイビア法は実際の挙動を監視して未知のマルウェアも検出する
- 問20OP25Bは動的IPから外部25番ポートへの直接送信を遮断する対策
- 問21異常終了したトランザクションはロールバックで開始前状態に戻す
- 問22DNSSECは署名検証でDNS応答の出所と非改ざんを確認する仕組み
- 問23参照モードは網羅性と検索性が要で、エラー時の是正処置まで示す
- 問24支援活動は全般管理・人事労務・技術開発・調達の四つ
- 問25LTVは年間利益に維持率の累乗を掛けて期間分を合計して求める
2021年度 秋期 午前II 25問
- 問1ITガバナンスは経営陣が評価・指示・モニタを回すEDMモデルで説明される
- 問2第一者監査は組織が自組織を対象に行う内部監査を指す
- 問3アジャイルは反復ごとのデモで利害関係者の評価を得て軌道修正する
- 問4システム監査基準は監査人の行為規範、判断尺度は管理基準が担う
- 問5ITF法は本番中に監査人用の擬似口座を設けてテストデータを流す技法
- 問6結論表明には合理的な根拠が要り、得るまで監査手続を継続する
- 問7記述書と確認書は受託会社、保証報告書は受託会社監査人が作成する
- 問8十分かつ適切な監査証拠とは量的十分性・適合性・証明力を備えた証拠
- 問9運用・管理の代表例はバックアップと復旧など日々の安定稼働の統制
- 問10変更管理など基盤を支える統制が全般統制、個別処理の担保は業務処理統制
- 問11可用性の母数はサービス提供時間、時間外の停止・保守は算入しない
- 問12コールドアイルは吸気面を対向させた間の冷気が通る通路
- 問13データポータビリティ権は自分のデータを機械可読形式で受け取る権利
- 問14下請法の支払期日60日は検査完了日でなく給付を受領した日から起算する
- 問15契約不適合には追完請求を軸に減額・賠償・解除の救済が用意される
- 問16営業利益＝売上高−売上原価−販管費で、営業外収支は含めない
- 問17コードサイニング証明書はソフトの発行元と改ざんの有無を確認させる
- 問18共通鍵はn(n-1)/2個必要で、人数増に対し二乗で膨れ上がる
- 問19CSFの識別機能にリスクアセスメントが属し組織のリスクを把握する
- 問20リスク特定は発見・認識・記述の段階で、受容可否の判断は評価
- 問21ビューは列の別名付けも行の絞り込みも可能だが更新には制限がある
- 問22ZigBeeはIEEE 802.15.4ベースの低消費電力・センサ向け無線規格
- 問23保守作業者の利用時品質には共存性・相互運用性を含む互換性が効く
- 問24ペネトレーション価格は低価格で導入し市場シェア獲得を優先する戦略
- 問25IVRは自動音声応答で顧客のプッシュ操作により用件を振り分ける仕組み
2020年度 10月試験 午前II 25問
- 問1統計的サンプリングは必要な標本件数を事前に算定できる点が本質
- 問2監査自体にも品質管理が要り、依頼者ニーズ充足を含め体制整備する
- 問3試査は一部抽出の検証から母集団全体を推定する方法（精査の対）
- 問4ペネトレーションテストは擬似攻撃でアクセス制御の有効性を実証する
- 問5リスクアプローチは重要な虚偽表示リスクが高い領域へ資源を重点配分する
- 問6予備調査は対象業務の実態把握が目的で、証拠入手は本調査の役割
- 問7フォローアップは改善状況の確認まで、改善の実施・指示は監査人の役割外
- 問8RFP調達では全ベンダへ同一情報を提供する公平性が必須
- 問9直接修正はログ改ざんによる証跡隠蔽が最も重大な統制上の不備
- 問10業務処理統制は入力から出力までの正確性確保、基盤側は全般統制
- 問11SLAはCSFで目的を定めKPIで測りSLOで水準を約束する順で作る
- 問12DAは論理設計とデータ標準化、DBAは物理設計と運用を担当する
- 問13フェアユースは公正な目的の利用を総合考慮で非侵害と評価する法理
- 問14職務発明は原則従業者帰属、企業は当然に通常実施権を得る
- 問15心の警備は不都合な情報や異論を遮断して集団を守る兆候
- 問16コンピテンシモデルは高成果者に共通する行動特性を定義したもの
- 問17AESは共通鍵暗号で、段数は鍵長128/192/256に応じて決まる
- 問18戦略本部と同時に内閣官房へ置かれた事務局組織がNISC
- 問19CPSは認証局が自らの認証業務の運用手順を詳細に定めた公開文書
- 問20CPSFはサイバーとフィジカルが融合する産業社会のリスクを構造化する
- 問21ビューは行・列を絞って見せることでデータの一部を隠蔽・保護できる
- 問22ブロードキャストストームはループ経路でフレームが無限増殖する障害
- 問23カークパトリックのレベル2は理解度テスト等で学習到達度を測る段階
- 問24VRIOは価値・希少性・模倣困難性・組織で経営資源の優位性を測る
- 問25SCMは企業間をまたぐ調達から販売までのモノの流れを全体最適化する
2019年度 春期 午前II 25問
- 問1ITガバナンスは評価・指示・モニタからなるEDMモデルで説明される
- 問2ITF法は本番に監査人用口座を設け稼働中に処理を検証する
- 問3ITガバナンスの原則は責任・戦略・取得など六つで構成される
- 問4保証報告書は監査人、記述書と確認書は受託会社自身が作成する
- 問5アジャイルでは反復ごとのデモで利害関係者の評価を得る
- 問6予備調査は資料閲覧で監査対象の実態と体制を把握する段階
- 問7IT全般統制は開発・変更管理など業務処理統制の土台を成す
- 問8統制活動は経営者の指示が確実に実行されるための方針と手続
- 問9システム監査基準は監査人の行為規範で判断尺度は管理基準
- 問10マネジメントはIT投資や情報セキュリティをPDCAで組織管理する層
- 問11事業関係マネージャは顧客の将来の事業要求を理解し計画する
- 問12バックアップ間隔を延ばすとログ反映の復旧時間が比例して伸びる
- 問13営業秘密侵害罪は図利目的で複製した領得の時点で成立する
- 問14通信販売の広告表示義務を定めるのは特定商取引法
- 問15PL法は引渡し時の知見で認識できない欠陥を免責とする
- 問16SL理論は部下の成熟度に応じ四つのリーダシップ型を使い分ける
- 問17参照制約は外部キー側への行追加を拒否しうる
- 問18無限中継の防止はIPv4のTTLとIPv6のホップリミットで共通
- 問19サイドチャネル攻撃は消費電力など物理情報から鍵を推定する
- 問20リスク特定はリスク源や事象と結果を発見し記述する過程
- 問21ビヘイビア法は動作の監視で未知のマルウェアも検出する
- 問22静的テストは実行せずコード検査や静的解析で欠陥を見つける
- 問23廃棄では利用者への事前通知と関係者への廃止周知が必要
- 問24バイラルマーケティングは口コミの伝播を積極的に活用する手法
- 問25PEST分析は政治・経済・社会・技術のマクロ環境を把握する
2018年度 春期 午前II 25問
- 問1妥当性検査の検証は異常データを実際に入力して排除を確かめる
- 問2統計的サンプリングでは必要な標本件数を事前に算定できる
- 問3証拠不足で意見が分かれたら追加手続で証拠を補い統一する
- 問4改善勧告は実行可能性を確かめるため事前に被監査部門と協議する
- 問5監査調書は実施記録と監査証拠をまとめ意見の根拠となる文書
- 問6システム管理基準は情報システムの安全・有効・効率的な機能を目的とする
- 問7試査は母集団の一部を抽出して全体の正当性を推定する手法
- 問8IT業務処理統制は業務処理の正確性・網羅性を確保する統制
- 問9事後の異常検知には財務指標の期間比較という発見的統制が有効
- 問10監査役は独立した立場で内部統制の整備・運用状況を監視検証する
- 問11資源の運用管理は要員の力量確保と教育訓練を求める要求事項
- 問12コールドアイルは吸気面を対向させた間の冷気の通り道
- 問13CEマークはEU必須要求事項への適合を製造者が示す表示
- 問14心の警備は異論や不都合な情報を集団に届かせない働き
- 問15PL法の免責は引渡し時の知見で欠陥を認識できない開発危険の抗弁
- 問16投資活動のCFは固定資産や有価証券の取得・売却の資金流れ
- 問17媒体障害の復旧はリストア後にコミット済み更新をロールフォワード
- 問18FTPはログインを伴うがHTTPは認証なしでも資源取得できる
- 問19サイドチャネル攻撃は消費電力や電磁波など物理情報から鍵を推定
- 問20SAMLは認証・属性・権限情報をドメイン間で伝達する仕様
- 問21OP25Bは動的IPから外部への直接25番ポート送信を遮断する
- 問22Observerパターンは状態変化を依存オブジェクトへ自動通知する
- 問23システム適格性確認テストは要件への適合と納入可否を評価する
- 問24LBOは買収先の資産を担保に少ない自己資金で企業を買収する
- 問25サービスプロフィットチェーンは従業員満足を起点とする収益の循環
2017年度 春期 午前II 25問
- 問1許容誤謬率は許容できる統制逸脱率でサンプル件数算定に使う
- 問2監査証拠は監査意見と指摘事項を裏付ける収集・作成した資料
- 問3システム監査基準は監査人の行為規範で監査の品質を確保する
- 問4ITF法は本番に監査人用口座を設け稼働中に処理を検証する技法
- 問5保証型は責任区分と保証の根拠の明示が必要だが助言型は不要
- 問6テストデータ法では対象が本番と同一ロジックかの確認が要点
- 問7監査証跡は入力から出力までを追跡できる仕組みと記録
- 問8監査範囲の制約で合理的根拠を得られなければ意見を表明しない
- 問9IT全般統制は開発・変更・運用など業務処理統制の土台となる統制
- 問10全社的なITへの対応は経営者のIT戦略・計画の適切性を問う
- 問11SLAは双方の責任を定め複数サービスをまとめて規定してもよい
- 問12データ管理者は論理設計とデータ項目の標準化を担う
- 問13所有者は自己利用に必要な限度でプログラムを改変できる
- 問14下請法の支払期日は給付を受領した日から60日以内で起算する
- 問15通信販売の広告表示義務を定めるのは特定商取引法
- 問16SL理論は部下の成熟度に応じて有効なリーダシップ型が変わる
- 問17集合関数のAVGはNULLを除外して平均を計算する
- 問18ネットワークアドレスはIPアドレスとマスクの論理積で求める
- 問19CSIRTはセキュリティインシデント対応を専門に担う組織
- 問20ブルートフォース攻撃は総当たりでパスワードを割り出す手法
- 問21ペネトレーションテストは実際に侵入を試み防御突破の可否を確認する
- 問22機能適合性は明示的・暗黙のニーズを満たす機能提供の度合い
- 問23CRUD分析ではエンティティに欠けた操作の有無を確認する
- 問24マーケットバスケット分析は同時購入商品の組合せを見つける
- 問25五つ目の競争要因は供給業者であるサプライヤの交渉力
2016年度 春期 午前II 25問
- 問1監査業務の品質管理は監査結果の適正性を組織的に担保する仕組み
- 問2試査は一部を抽出して手続を適用し母集団全体を推定する手法
- 問3リスクアプローチは重要な虚偽表示リスクの高い領域へ資源を重点配分する
- 問4監査の実施手順は予備調査から本調査を経て評価・結論に至る
- 問5監査技法は目的別にテスト・ロジック分析・変更検証・データ抽出に整理できる
- 問6保証報告書は監査人、記述書と確認書は受託会社自身が作成する
- 問7第二者監査は取引先など利害関係のある当事者が行う監査
- 問8統計的サンプリングは無作為抽出と確率論に基づく母集団推定が要件
- 問9IT業務処理統制は個々の業務処理に組み込まれた統制を指す
- 問10事後の異常検知には財務指標の期間比較などの発見的統制が有効
- 問11サービストランジションは設計済みサービスを本番へ移行し稼働させる段階
- 問12構成ベースラインは構成監査の比較基準と切り戻しの基準点となる
- 問13法人名義の著作物の保護期間は公表時を起点に計算する
- 問14就業規則を前提に職務ごとの秘密範囲を具体化する個別合意は有効
- 問15PL法の対象は動産の欠陥であり組込みプログラムは機器の欠陥となる
- 問16キャロルのCSRは経済的・法的・倫理的・社会貢献責任の四層構造
- 問17導出表は問合せ結果として得られる表でビューが代表例
- 問18RIPngはIPv6対応の距離ベクトル型経路制御プロトコル
- 問19CRYPTRECは電子政府推奨暗号の安全性を評価し継続監視する
- 問20ビヘイビア法は動作の異常を監視して未知のウイルスも検出する
- 問21DNSSECは署名検証で応答の正当性と完全性を保証する
- 問22インスペクションは公式手続で絞った論点を多角的に検討する
- 問23適応保守は環境変化に追随して製品を使い続けるための修正
- 問24PPMは市場成長率と相対シェアの二軸で資源配分方針を導く
- 問25内面化は共有された形式知を実践を通じ暗黙知として体得する段階