JIS Q 27002:2024（情報セキュリティ管理策）では、運用システムに対する監査活動の影響を最小限にするための管理策及び実施の手引を定めている。その中で守ることが望ましい事項として、最も適切なものはどれか。

選択肢

• ア運用システムに影響を与えないよう、監査におけるテストを目的としたアクセスについては、監視やログ取得の対象外とする。
• イ運用システムや当該システム上のデータへのアクセスに関する監査要求事項については、当該システムの運用担当者に限定して同意を得る。
• ウ監査におけるテストがシステムの可用性に影響する可能性がある場合は、当該テストを営業時間内に実施する。
• エ監査におけるテストでソフトウェア及びデータにアクセスする場合は、読出し専用のアクセスに限定する。

正解と解説

正解：エ 監査におけるテストでソフトウェア及びデータにアクセスする場合は、読出し専用のアクセスに限定する。

監査は運用中のシステムに対して行うため、監査活動そのものが業務を止めたりデータを壊したりしないよう配慮が求められる。そこでJIS Q 27002 では、監査目的でソフトウェアやデータにアクセスする際は読出し専用に限定することを推奨している。書込みや更新の権限を渡さなければ、誤操作や意図しない変更による本番データの毀損を原理的に防げるためである。やむを得ず読出し専用にできない場合は、隔離環境の複製を使うなどの代替策が示されるのが通例である。

選択肢ごとの解説

• ア監査目的のアクセスであっても監視とログ取得の対象とすべきで、例外扱いにすると事後の追跡ができなくなる。
• イアクセスに関する同意は運用担当者ではなく、その資産に責任をもつ適切な管理層から得る必要がある。
• ウ可用性に影響しうるテストは業務時間帯を避けて実施するのが原則で、営業時間内に行うのは逆である。
• エ正しい。監査でソフトウェアやデータにアクセスする際は読出し専用に限定し、本番資産の変更を防ぐ。

同じ分野の他の問題

• “政府情報システムのためのセキュリティ評価制度（ISMAP）標準監査手続”における“監査の対象となる期間”の記述のうち、…2023年度 秋期 午前II 問2
• JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）では、運用システムに対する監査活動の影響を最…2022年度 秋期 午前II 問7
• JIS Q 27002:2024（情報セキュリティ管理策）におけるサイバーセキュリティ概念を構成する五つの属性値はどれか…2025年度 秋期 午前II 問18
• JIS X 9251:2021（プライバシー影響評価のためのガイドライン）において、個人識別可能情報の処理に関する潜在的…2025年度 秋期 午前II 問14
• “サイバー情報共有イニシアティブ（J-CSIP）”の説明はどれか。2023年度 秋期 午前II 問18