システム監査技術者試験 令和5年度 秋期 午前II 問2

【正解】イ

イが適切です。ISMAPにおける監査対象期間は、クラウドサービス事業者が言明した統制について、整備状況や運用状況を評価する対象期間です。この期間は最大1年と定められています。1年を上限とすることで、一定の間隔で統制の有効性を確認し、登録情報を継続的に更新できるようにしています。更新申請では、前回の監査対象期間の末日の翌日から次の期間を始め、監査されない空白期間を生じさせないことも重要です。

アの記述は誤りです。最大期間が1年なので、1年を超える監査対象期間を前提にすること自体ができません。また、監査対象期間は、期間の長短にかかわらず、ISMAPクラウドサービスリストで一般に公開される情報です。

ウの記述は誤りです。監査対象期間を1年とした場合でも非公開にはならず、クラウドサービスリストにおける公開対象です。利用者が、どの期間の統制が監査されたのかを確認するための情報だからです。

エの記述は誤りです。監査対象期間を1年より短くする場合に必要な最低運用期間は、1か月ではなく3か月です。短い期間でも、統制が継続して運用された事実を評価できるだけの期間が必要です。

【ポイント】 期間の要件は、「最大1年」と「1年未満なら最低3か月」を組み合わせて覚えます。 監査対象期間は公開対象であり、更新時には前回期間との間に空白を作らないことも押さえます。