問1
システム監査で用いる統計的サンプリングに関する記述のうち，適切なものはどれか。
- ア 開発プロセスにおけるコントロールを評価する際には，開発規模及び影響度が大きい案件を選定することによって，開発案件全てに対する評価を導き出すことができる。
- イ コントロールが有効であると判断するために必要なサンプル件数を事前に決めることができる。
- ウ 正しいサンプリング手順を踏むことによって，母集団全体に対して検証を行う場合と同じ結果を常に導き出すことができる。
- エ 母集団からエラー対応が行われたデータを選定することによって，母集団全体に対してコントロールが適切に行われていることを確認できる。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問1
問2
システム監査基準（平成30年）における，システム監査の品質に関する記述として，最も適切なものはどれか。
- ア 外部の専門事業者に監査業務の実施を委託し，独立性の観点から，監査の品質管理体制の確認を含めて全てを任せる。
- イ 監査業務の品質を維持し，向上させるために，組織体内部による点検・評価を行う必要はなく，組織体外部の独立した主体による点検・評価を実施する。
- ウ 監査に対する監査依頼者のニーズを満たしているかどうかを含め，監査品質を確保するための体制を整備する。
- エ システム監査基準は監査業務を実施するためのテンプレートを規定しており，それを利用することによって監査業務の品質を確保する。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問2
問3
システム監査において実施される “試査” に該当するものはどれか。
- ア 監査対象に最も適合した監査手続を決定するために，幾つかの監査技法を試行する。
- イ 計算モジュールの正確性を確認するために，ソースプログラムをレビューする。
- ウ 全てのトランザクションデータに監査手続を試験的に適用し，その処理の正当性について判断する。
- エ 抽出した一定件数のトランザクションデータに監査手続を適用し，データ全件の正当性について判断する。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問3
問4
システム監査において，ペネトレーションテストが最も適合するチェックポイントはどれか。
- ア オフィスへの入退室に，不正防止及び機密保護の物理的な対策が講じられているか。
- イ データ入力が漏れなく，重複なく正確に行われているか。
- ウ ネットワークの負荷状況の推移が記録，分析されているか。
- エ ネットワークへのアクセスコントロールが有効に機能しているか。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問4
問5
財務報告に係る内部統制監査におけるリスクアプローチの説明のうち，適切なものはどれか。
- ア 監査の効率性を念頭におき，固有リスクだけを評価する。
- イ 財務諸表の重要な虚偽表示リスクの有無にかかわらず，任意に抽出した業務プロセスに対してリスクを評価する。
- ウ 財務報告に係る全ての業務に対して，ボトムアップで網羅的にリスクを洗い出して評価する。
- エ 想定されるリスクのうち，財務諸表の重要な虚偽表示リスクが高い項目に監査のリソースを重点的に配分する。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問5
問6
システム監査基準（平成30年）における予備調査に関する記述のうち，最も適切なものはどれか。
- ア 監査対象業務の実態を把握するために行う調査である。
- イ 監査対象部門と監査計画を調整するために行う調査である。
- ウ 十分かつ適切な監査証拠を入手するために行う調査である。
- エ 本調査を補完する目的で，本調査と並行して行う調査である。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問6
問7
システム監査基準（平成30年）における，改善提案のフォローアップに関する記述のうち，最も適切なものはどれか。
- ア 監査対象部門と改善責任部門がともに改善を実施しないという意思決定を行った場合は，システム監査人が代わって改善を実施する。
- イ 監査対象部門と改善責任部門によって実施された改善策が不十分な場合は，システム監査人が経営陣に追加の改善策の実施を指示する。
- ウ 監査報告書の中で指摘事項とされたかどうかにかかわらず，監査調書に記載された全ての不備に対して，改善実施状況のフォローアップを実施する必要がある。
- エ システム監査人は，監査対象部門が提出した改善実施状況報告書の確認に加え，改善内容の追加的な検証が必要かどうかを検討する。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問7
問8
提案依頼書（RFP）によるベンダ選定手続に関するシステム監査で判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
- ア RFP に，システム化要求事項のほか，あるべき業務モデルも添付していた。
- イ RFP 発行後，問合せをしてきた IT ベンダだけに対して追加資料を提供していた。
- ウ 提案を希望する IT ベンダだけを集めて，RFP 説明会を実施していた。
- エ 予算額の範囲を，RFP に明示していた。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問8
問9
データベースの直接修正に関して，監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，特権 ID を使用してデータを追加，変更又は削除することをいう。
- ア 更新ログを加工して，アプリケーションソフトウェアの機能を経由した正常な 処理によるログとして残していた。
- イ 事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
- ウ 直接修正の作業時以外は，使用する直接修正用の特権 ID を無効にしていた。
- エ 利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施 していた。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問9
問10
金融庁 “財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）” における IT に係る業務処理統制に該当するものはどれか。
- ア 外部委託に関する契約の管理
- イ システムの運用管理
- ウ システムの開発・保守に係る管理
- エ 利用部門によるエラーデータの修正と再処理
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問10
問11
SLA を作成する際に，サービスレベル項目（SLO），重要業績評価指標（KPI），重要成功要因（CSF）の三つを検討する。検討する順序のうち，最も適切なものはどれか。
- ア CSF → KPI → SLO
- イ KPI → CSF → SLO
- ウ KPI → SLO → CSF
- エ SLO → CSF → KPI
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問11
問12
基幹業務システムの構築及び運用において，データ管理者（DA）とデータベース管理者（DBA）を別々に任命した場合のDAの役割として，適切なものはどれか。
- ア 業務データ量の増加傾向を把握し，ディスク装置の増設などを計画して実施する。
- イ システム開発の設計工程では，主に論理データベース設計を行い，データ項目を管理して標準化する。
- ウ システム開発のテスト工程では，主にパフォーマンスチューニングを担当する。
- エ システム障害が発生した場合には，データの復旧や整合性のチェックなどを行う。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問12
問13
フェアユースの説明はどれか。
- ア 国及び地方公共団体，並びにこれに準ずる公的機関は，公共の福祉を目的として他者の著作物を使用する場合，著作権者に使用料を支払う必要がないという考え方
- イ 著作権者は，著作権使用料の徴収を第三者に委託することが認められており，委託を受けた著作権管理団体はその徴収を公平に行わなければならないという考え方
- ウ 著作物の利用に当たっては，その内容や題号を公正に取り扱うため，著作者の意に反し，利用者が勝手に変更，切除その他の改変を行ってはならないという考え方
- エ 批評，解説，ニュース報道，教授，研究，調査など，公正な目的のためであれば，一定の範囲での著作物の利用は，著作権の侵害には当たらないと評価される考え方
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問13
問14
特許法によれば，企業が雇用している従業者が行った職務発明に基づく特許の取扱いのうち，適切なものはどれか。
- ア 企業は，承継した特許権について，特許庁が定めた対価の額を支払う必要がある。
- イ 企業は，特許権について通常実施権を有する。
- ウ 特許を受ける権利は，自動的に企業へ承継され，従業者と企業の共有特許となる。
- エ 特許を受ける権利は，無条件に企業が取得する。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問14
問15
技術者倫理における集団思考の問題点として，アーヴィング・ジャニスが指摘し技術者倫理における集団思考の問題点として，アーヴィング・ジャニスが指摘した八つの兆候のうち，“心の警備”の説明として，適切なものはどれか。
- ア 集団に新しく加わったメンバなどが異議を唱える場合には，それを阻止して， 集団を保護しようとする。
- イ 自分の所属している集団は失敗することがなく，又は万が一失敗しても集団は 存続すると考える。
- ウ 他のメンバから特に意見が出されず，発言者以外の全メンバが沈黙している場 合は，その意見を集団組織の一致した意見とみなす。
- エ 反対する少数メンバがいる場合は，そのメンバに圧力を加えて統一した意見に させる。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問15
問16
恒常的に成果に結び付けることのできる個人の行動や思考特性を定義したものはどれか。
- ア SL理論
- イ Y理論
- ウ コンピテンシモデル
- エ マズローの欲求段階説
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問16
問17
AESの特徴はどれか。
- ア 鍵長によって，段数が決まる。
- イ 段数は，6段以内の範囲で選択できる。
- ウ データの暗号化，復号，暗号化の順に3回繰り返す。
- エ 同一の公開鍵を用いて暗号化を3回繰り返す。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問17
問18
サイバーセキュリティ基本法に基づき，内閣にサイバーセキュリティ戦略本部が設置されたのと同時に，内閣官房に設置された機関はどれか。
- ア IPA
- イ JIPDEC
- ウ JPCERT/CC
- エ NISC
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問18
問19
公開鍵基盤における CPS（Certification Practice Statement）に該当するものはどれか。
- ア 認証局が発行するディジタル証明書の所有者が策定したセキュリティ宣言
- イ 認証局でのディジタル証明書発行手続を代行する事業者が策定したセキュリティ宣言
- ウ 認証局の認証業務の運用などに関する詳細を規定した文書
- エ 認証局を監査する第三者機関の運用などに関する詳細を規定した文書
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問19
問20
経済産業省が“サイバー・フィジカル・セキュリティ対策フレームワーク（Version 1.0）”を策定した主な目的の一つはどれか。
- ア ICT を活用し，場所や時間を有効に活用できる柔軟な働き方（テレワーク）の形態を示し，テレワークの形態に応じた情報セキュリティ対策の考え方を示すこと
- イ 新たな産業社会において付加価値を創造する活動が直面するリスクを適切に捉えるためのモデルを構築し，求められるセキュリティ対策の全体像を整理すること
- ウ クラウドサービスの利用者と提供者が，セキュリティ管理策の実施について容易に連携できるように，実施の手引を利用者向けと提供者向けの対で記述すること
- エ データセンタの利用者と事業者に対して“データセンタの適切なセキュリティ”とは何かを考え，共有すべき知見を提供すること
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問20
問21
関係データベースのビューを利用する目的はどれか。
- ア DISTINCT 指定，GROUP BY 句及び HAVING 句をもつ演算処理を独立させて, プログラムに単純化したデータ更新手段を提供する。
- イ 行や列を特定の条件で絞り込んだビューだけをアクセスさせることによって, 基となる表のデータの一部を隠蔽して保護する手段を提供する。
- ウ データベースの物理的記憶構造の変更に影響されないように，アプリケーショ ンプログラムに対して物理的データ独立性を提供する。
- エ 複数の表を結合したビューにインデックスを付与することによって，複数の表 にまたがった高度な検索手段を提供する。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問21
問22
ブロードキャストストームの説明として，適切なものはどれか。
- ア 1台のブロードバンドルータに接続する PC の数が多過ぎることによって，インターネットへのアクセスが遅くなること
- イ IP アドレスを重複して割り当ててしまうことによって，通信パケットが正しい相手に到達せずに，再送が頻繁に発生すること
- ウ イーサネットフレームの宛先 MAC アドレスが FF-FF-FF-FF-FF-FF で送信され，LAN に接続した全ての PC が受信してしまうこと
- エ ネットワークスイッチ間にループとなる経路ができることによって，特定のイーサネットフレームが大量に複製されて，通信が極端に遅くなったり通信できなくなったりすること
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問22
問23
新システムの受入れ支援において，利用者への教育訓練に対する教育効果の測定を，カークパトリックモデルの４段階評価を用いて行う。レベル１（Reaction），レベル２（Learning），レベル３（Behavior），レベル４（Results）の各段階にそれぞれ対応したa～dの活動のうち，レベル２のものはどれか。
a 受講者にアンケートを実施し，教育訓練プログラムの改善に活用する。
b 受講者に行動計画を作成させ，後日，新システムの活用状況を確認する。
c 受講者の行動による組織業績の変化を分析し，ROIなどを算出する。
d 理解度確認テストを実施し，テスト結果を受講者にフィードバックする。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問23
問24
VRIO分析はどれか。
- ア 環境要因を外部環境の機会と脅威，内部環境の強みと弱みに分類し，それら四つの組合せから重要成功要因を導出する。
- イ 自社の経営資源について，経済的価値，希少性，模倣困難性，組織の四つの観点で評価し，市場での競争優位性をどの程度有しているかを分析する。
- ウ 市場成長性の高低と自社の市場シェアの高低から，自社の事業を，金のなる木，花形，問題児，負け犬の四つに分類し，経営資源の配分を検討する。
- エ 複数の重要成功要因を，財務の視点，顧客の視点，内部ビジネスプロセスの視点，学習と成長の視点の四つに分類し，相互の関係性を踏まえて戦略目標を定める。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問24
問25
部品や資材の調達から製品の生産，流通，販売までの，企業間を含めたモノの流れを適切に計画・管理し，最適化して，リードタイムの短縮，在庫コストや流通コストの削減などを実現しようとする考え方はどれか。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問25