高度情報処理技術者試験・情報処理安全確保支援士試験 令和6年度 春期 午前I 問21

【正解】ア

システム監査基準では、システム監査を、情報システムに関係するガバナンス、マネジメント及びコントロールを総合的に点検し、評価するものと位置付けています。したがって、残る一つはガバナンスです。ガバナンスとは、経営者が情報システムの活用方針や責任体制を定め、組織の目標達成に向けて適切に指示し、監督する仕組みです。マネジメントが方針に基づいて計画、実行、管理する活動、コントロールがリスクを抑えるための具体的な統制であるのに対し、ガバナンスはそれらを経営の立場から方向付ける上位の概念です。

イのコンプライアンスは誤りです。これは法令、契約、社内規程、社会的規範などを遵守することです。監査で確認される重要事項ですが、三つの対象区分の名称ではありません。

ウのサイバーレジリエンスは誤りです。これはサイバー攻撃を受けても重要な業務を継続し、被害から速やかに復旧する能力を指します。

エのモニタリングは誤りです。これは統制が有効に機能しているかを継続的又は定期的に監視し、必要に応じて改善する活動です。コントロールやマネジメントを支える具体的活動に当たります。

【ポイント】 システム監査の三つの対象は、ガバナンス、マネジメント、コントロールです。 ガバナンスは方向付けと監督、マネジメントは計画と実行、コントロールはリスクを抑える仕組み、と整理すると区別しやすくなります。