ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について,JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)の附属書Aの管理策に照らして監査を行った。判明した状況のうち,監査人が,監査報告書に指摘事項として記載すべきものはどれか。

選択肢

• アソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。
• イソフトウェア開発は,セキュリティ確保に配慮した開発環境において行っている。
• ウソフトウェア開発を外部委託している場合,外部委託先による開発活動の監督・監視において,セキュリティ確保の観点を考慮している。
• エパッケージソフトウェアを活用した開発において,セキュリティ確保の観点から,パッケージソフトウェアの変更は必要な変更に限定している。

正解と解説

正解：ア ソフトウェア開発におけるセキュリティ機能の試験は,開発期間が終了した後に実施している。

JIS Q 27001の附属書Aは、セキュリティ機能の試験を開発の過程の中で実施することを求めている。開発期間が終わってから試験するのでは、欠陥の是正が後手に回り、修正の負担も大きくなるため、監査人は改善が必要な事項として指摘すべきである。他の3つは管理策に沿った望ましい状態である。

選択肢ごとの解説

• ア正しい。試験は開発の過程で行うべきであり、事後実施は指摘対象となる。
• イ安全な開発環境の確保は管理策に沿った適切な状態である。
• ウ外部委託先の活動を監督・監視することは求められている取組である。
• エパッケージの改変を必要最小限にとどめるのは望ましい対応である。

同じ分野の他の問題

• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前II 問25
• アクセス管理に関する内部統制のうち,金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”におけるI…2024年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”における、ITに係る全般統制に該当するものとし…2024年度 春期 午前II 問25
• データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケ…2023年度 秋期 午前II 問25