重要度：C
問16：情報セキュリティ監査の説明として、最も適切なものはどれか。
- A：情報システムの利活用や管理の状況を、幅広く検証・評価する監査
- B：対策の状況を、情報セキュリティ管理基準などに照らして評価する監査
- C：法令や社内規程の遵守の状況を、独立した立場で検証する監査
- D：組織のISMSが規格の要求事項に適合し有効かを、自ら確認する活動
【第16問：正解と解説】
正解：B
・A
これはシステム監査の一般的な説明である。システム監査でも情報セキュリティを対象にできるが、情報システムのガバナンス、マネジメント、コントロールを含む、より広い範囲を検証・評価する。
・B
正しい。情報セキュリティ監査は、情報セキュリティ管理基準などを判断の尺度として、情報セキュリティ対策の適切性や有効性を独立かつ客観的な立場から評価する。
・C
これはコンプライアンス監査であり、法令等の遵守の状況を対象とする。
・D
これはISMS内部監査の説明である。ISMS内部監査は、組織自身又は組織のために実施され、ISMSが組織の要求事項及び規格要求事項に適合し、有効に実施・維持されているかを、客観性を確保して確認する。
重要度：B
問17：内部統制の6つの基本的要素のうち、「モニタリング」に当たる活動はどれか。
- A：内部統制が有効に機能しているかを、点検や内部監査で継続的に評価する。
- B：組織の誠実性や倫理観など、統制の土台となる組織全体の気風を整える。
- C：業務に含まれる不正や誤りのリスクを識別し、対応の方針を決める。
- D：必要な情報が組織の内外の関係者へ適時に伝わる仕組みを整える。
【第17問：正解と解説】
正解：A
・A
正しい。統制の有効性を継続的に評価する活動がモニタリングである。
・B
これは統制環境の説明である。
・C
これはリスクの評価と対応の説明である。
・D
これは情報と伝達の説明である。
重要度：B
問18：ITに係る業務処理統制に該当するものはどれか。
- A：システムの開発や変更の手続を定めた、全社に共通する管理のルール
- B：データセンターの入退室管理など、IT基盤全体を守る仕組み
- C：システム運用者のアクセス権を管理する、共通基盤の仕組み
- D：販売システムの入力画面に組み込まれた、金額の上限チェックの機能
【第18問：正解と解説】
正解：D
・A
システムの開発・変更に関する共通の管理手続は、複数の業務処理統制が有効に機能する環境を支えるITに係る全般統制に当たる。
・B
データセンターの入退室管理など、IT基盤全体を対象とする物理的な管理は、ITに係る全般統制に当たる。
・C
システム運用者のアクセス権を共通基盤で管理する仕組みは、複数の業務システムを支えるITに係る全般統制に当たる。
・D
正しい。販売システムの入力値を検証する上限チェックは、個々の業務システムに組み込まれ、承認された業務が正確に処理・記録されることを確保するITに係る業務処理統制に当たる。
重要度：B
問19：内部統制の統制活動として職務の分離を導入する目的の説明として、最も適切なものはどれか。
- A：担当者の人数を減らして、業務にかかる人件費を抑えること
- B：申請と承認などの権限を分け、誤りや不正を相互の牽制で防ぐこと
- C：全ての権限を1人の責任者へ集中させて、意思決定を速めること
- D：全従業員に同じ権限を与えて、業務の属人化を解消すること
【第19問：正解と解説】
正解：B
・A
職務分離はむしろ複数人の関与を前提とし、人員削減の手法ではない。
・B
正しい。単独で処理を完結できない仕組みが、相互牽制として機能する。
・C
権限の集中は牽制を失わせ、内部統制の考え方と逆行する。
・D
全員への同一権限の付与は、最小権限にも牽制にも反する。
重要度：C
問20：ITガバナンスの説明として、最も適切なものはどれか。
- A：サーバやネットワーク機器を、障害なく日々運用する現場の作業
- B：プログラムの不具合を発見して、修正するテストの活動
- C：ITの活用を経営目標に沿って方向づけ、統制する経営の仕組み
- D：個々の従業員が、私物端末を自分の判断で管理する取組み
【第20問：正解と解説】
正解：C
・A
日々の運用作業はITマネジメントの実務であり、ガバナンスそのものではない。
・B
テストは開発活動の一部であり、経営の仕組みの説明ではない。
・C
正しい。経営陣がITの方向づけと監督を行う枠組みを指す。
・D
個人の判断による管理は、組織的な方向づけであるガバナンスと逆である。
コメント