令和7年度 秋期 システム監査技術者試験 午前II 問6

JIS Q 27002:2024における「情報システム監査活動」の管理策は、監査活動が運用中のシステムや業務プロセスに与える影響を最小限に抑えることを目的としています。監査の実施によってシステムの停止やデータの改ざんが生じないよう、慎重な取り扱いが求められます。

正解の根拠

監査のためのアクセスが原因で、意図せずシステム上のデータが変更・削除されることを防ぐため、テストでソフトウェアやデータにアクセスする場合は、読出し専用（リードオンリー）のアクセスに限定することが推奨されています。

各選択肢の解説

• ア：誤り。監査目的のアクセスであっても、不正や想定外の操作を追跡できるようにするため、アクセスを監視やログ取得の対象としなければなりません。
• イ：誤り。監査要求事項やアクセス範囲については、システムの運用担当者だけでなく、適切な経営陣やシステム管理者などの関係者全員と事前に合意を得る必要があります。
• ウ：誤り。監査におけるテストがシステムの可用性に影響を及ぼす可能性がある場合は、業務への影響を最小限にするため、営業時間外に実施することが望ましいです。
• エ：正解。監査活動に伴うデータの改ざんや破壊を防ぐため、ソフトウェア及びデータへのアクセスは読出し専用のアクセスに限定することが最も適切です。