令和4年度 秋期 システム監査技術者試験 午前II 問7
マネジメントシステム監査セキュリティ管理監査の実施(計画・手続・証拠・報告)ISMS・方針・人的/物理的対策
JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）では，運用システムに対する監査活動の影響を最小限にするための管理策及び実施の手引を定めている。その中で守ることが最も望ましいとされている事項はどれか。
解答・解説
正解: エ. 監査におけるテストでソフトウェア及びデータにアクセスする場合は，読出し専用のアクセスに限定する。
JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）において、運用システムへの監査活動の影響を最小限にするためには、システムの可用性やデータの完全性に対するリスクを考慮し、適切な管理策を講じることが求められます。
監査においてソフトウェアやデータにアクセスする際、システムへの不正な変更や誤操作による破壊を防ぐため、読出し専用のアクセスに限定することが推奨されています。したがって、エが正解です。
各選択肢の解説
ア：誤り
監査プロセスにおいても不正や誤操作が行われるリスクがあるため、監査におけるテストやアクセスも、通常のアクセスと同様にアクセス監視やログ取得の対象とする必要があります。イ：誤り
監査活動の実施にあたっては、システムの運用担当者だけでなく、監査対象となるシステムの適切な管理責任者（マネジメント）からも同意を得る必要があります。ウ：誤り
監査におけるテストがシステムの可用性に影響（パフォーマンスの低下や停止など）を与える可能性がある場合は、業務への影響を最小限にするため、営業時間内ではなく営業時間外（オフピーク時など）に実施すべきです。エ：正しい
データの意図しない変更や破壊を防止するため、監査におけるテストで運用システムのソフトウェアやデータにアクセスする場合は、読出し専用（リードオンリー）のアクセスに限定することが最も望ましいとされています。