システム監査技術者試験 令和4年度 秋期 午前II 問3

【正解】ウ

システム管理基準は、企業などが情報システムを適切に管理するための実践規範であり、組織の規模や業種を問わず活用できるように示されています。大企業だけを対象とするものではなく、中小企業でも、情報システム化戦略やその実践状況について自己診断を行ったり、監査の判断尺度として利用したりできます。したがって、中小企業での自己診断及び監査にも使用できるとするウが正解です。

アの、全ての管理項目を網羅的に適用しなければならないという説明は誤りです。基準の項目は、組織の目的、規模、業種、リスクなどを踏まえ、必要性を検討して選択・適用します。

イの、情報セキュリティについては同基準を使ってはならず、情報セキュリティ管理基準だけを使わなければならないという説明は誤りです。システム管理基準にも情報セキュリティに関する管理事項が含まれており、目的に応じて関連基準を併用できます。

エの、管理項目を可能な限りそのまま採用すべきだという説明は誤りです。独自の管理基準を策定する場合は、自社の特性やリスクに応じて項目を取捨選択し、内容を具体化することが求められます。

【ポイント】 システム管理基準は、全項目を一律に強制する規則ではなく、組織に応じて活用する実践的な基準です。 「企業規模にかかわらず利用可能」「目的やリスクに応じて適用」が重要です。