問1
JIS Q 19011:2019（マネジメントシステム監査のための指針）において，“監査員”に含まれるものはどれか。
- ア 監査チームに同行するオブザーバ
- イ 監査チームリーダー
- ウ 監査チームを支援する技術専門家
- エ 監査プログラムをマネジメントする監査依頼者
システム監査技術者 2024年 秋期 午前II 問題
システム監査技術者 2024年 秋期 午前IIの問題文23問です。図・表・別冊資料と正解は掲載していませんので、出典の公表資料またはアプリでご確認ください。
問2
情報システムを対象としたデューデリジェンスの説明として，適切なものはどれか。
- ア 企業買収などの重要な意思決定を行う場合に，買収などの対象に含まれる企業の情報システムの価値やリスクを評価すること
- イ 情報システムの入力，処理など，日常業務プロセスの信頼性を確保すること
- ウ 情報セキュリティに係るリスクマネジメントを構築すること
- エ データにおける個人情報保護などの法令遵守を確保すること
問3
金融庁 “財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）” に基づき，出荷管理システムを利用している出荷の正当性に関する業務処理統制についての監査手続として，最も適切なものはどれか。
- ア 出荷管理システムが稼働しているサーバの設置環境を現地に出向いて観察する。
- イ 出荷管理システムから出力された日別出荷一覧表を入手し，出荷業務責任者の承認印を確認する。
- ウ 出荷管理システムの入力に関するトータルチェックの仕組みについて，出荷業務責任者にヒアリングを行う。
- エ テストデータ法を用いて，出荷管理システムの日別出荷一覧表を出力するプログラムの検証を行う。
問4
システム監査基準（令和5年）に従い，監査目的に基づいて，ガバナンス，マネジメント，コントロールの視点から検証を行う。“マネジメントの視点”から検証する項目はどれか。
- ア IT 戦略と経営戦略が整合しているか，新技術や技術革新を経営戦略推進のために適時適切に利活用できているか。
- イ IT 投資管理や情報セキュリティ対策が PDCA サイクルに基づいて，組織体全体として適切に管理されているか。
- ウ 規程に従った承認手続が実施されているか，異常なアクセスを検出した際に適時に対処及び報告が行われているか。
- エ 組織の業務プロセスなどにおいて，リスクに応じた統制が適切に組み込まれ，機能しているか。
問5
システム監査において実施される“試査”に該当するものはどれか。
- ア 監査対象に最も適合した監査手続を決定するために，幾つかの監査技法を試行する。
- イ 計算モジュールの正確性を確認するために，ソースプログラムをレビューする。
- ウ 全てのトランザクションデータに監査手続を試験的に適用し，その処理の正当性について判断する。
- エ 抽出した一定件数のトランザクションデータに監査手続を適用し，データ全件の正当性について判断する。
問6
金融庁 “財務報告に係る内部統制の評価及び監査の基準（令和5年）” における，内部統制の基本的要素である “統制活動” はどれか。
- ア 経営者の命令及び指示が適切に実行されることを確保するために定める方針及び手続である。
- イ 組織の気風を決定し，組織内の全ての者の統制に対する意識に影響を与えるものである。
- ウ 組織目標の達成を阻害する要因をリスクとして識別，分析及び評価し，適切な対応を行うプロセスである。
- エ 必要な情報が識別，把握及び処理され，組織内外及び関係者相互に正しく伝えられることを確保することである。
問7
システム監査基準（令和５年）におけるシステム監査報告書の作成と報告に関する記述のうち，最も適切なものはどれか。
- ア 監査人は，改善勧告の重要度や緊急度の区分を監査報告書には記載せず，監査対象先が改善計画書を作成するときに設定する。
- イ 監査人は，監査報告書に記載する指摘事項を裏付ける監査証拠などについて，監査対象先との間で意見交換会などを通じて事実確認を行う。
- ウ 監査人は，監査報告書を必ず監査対象先の代表取締役に提出する。
- エ 内部監査業務の一部を外部の専門事業者に委託する場合，内部監査部門の監査人は，監査報告書の作成を委託先事業者に一任し，委託先事業者の名前で経営者に監査報告書を提出させる。
問8
システム監査基準（令和５年）における監査計画の必要性についての記述として，適切なものはどれか。
- ア 監査対象先や関連部門に対して，問題点の相互確認を行う等，事実認識の共有を十分に図るため
- イ 監査の結論に至った過程を明らかにし，監査の結論を支える合理的な根拠とするため
- ウ 監査の網羅性と効率性を整合させ，有効性の高いシステム監査を実施するため
- エ 適切かつ慎重に監査手続を実施し，監査の結論の裏付けとするため
問9
金融庁 “財務報告に係る内部統制の評価及び監査に関する実施基準（令和５年）” に関する記述のうち，適切なものはどれか。
- ア IT に係る全般統制の不備は，直ちに開示すべき重要な不備と評価される。
- イ 監査人は，内部統制報告書を全体として虚偽の表示に当たるとするほどではないと判断したときは，いかなる場合も意見を表明する必要はない。
- ウ 金融商品取引法による内部統制報告制度は，財務報告の信頼性以外の他の目的を達成するための IT の統制の整備及び運用を直接的に求めるものではない。
- エ 財務報告に対する影響の重要性が僅少である事業拠点について，いかなる場合も内部統制の有効性の評価範囲に含める必要がある。
問10
金融庁 “財務報告に係る内部統制の評価及び監査に関する実施基準（令和５年）” における，内部統制の基本的要素である統制環境に該当するものはどれか。
- ア 職務の分掌
- イ 組織構造及び慣行
- ウ 内部監査
- エ 内部通報制度
問12
ヒューマンエラーに起因する障害の低減策の一つに，エラープルーフ化がある。エラープルーフ化の五つの原理のうち，作業ミスによるエラーの発生を未然に防ぐための原理の組みはどれか。 〔エラープルーフ化の五つの原理〕 ・異常検出：エラーに気付くようにする。 ・影響緩和：影響が致命的なものにならないようにする。 ・代替化：人が作業をしなくてもよいようにする。 ・排除：作業や注意を不要にする。 ・容易化：作業を易しくする。
- ア 異常検出，影響緩和，排除
- イ 異常検出，代替化，容易化
- ウ 影響緩和，代替化，排除
- エ 代替化，排除，容易化
問13
著作権法及び関連法令によれば，職務著作の要件のうち，プログラムの著作物の場合は満たす必要がなく，プログラム以外の著作物の場合は満たす必要があるものはどれか。
- ア 著作権が作成者に帰属するとの取決めがないこと
- イ 法人等が自己の著作の名義の下に公表していること
- ウ 法人等の業務に従事する者が作成していること
- エ 法人等の発意に基づいていること
問14
技術者倫理におけるホイッスルブローイングの説明として，適切なものはどれか。
- ア 画期的なアイデアによって経済・社会に大きな変革をもたらすこと
- イ コミュニケーションを通じて自ら問題を解決できる人材を育成すること
- ウ 法令又は社会的規範を逸脱する行為を第三者などに知らせること
- エ リスクが発生したときの対処方法をあらかじめ準備しておくこと
問15
適格請求書等保存方式（インボイス制度）に関する記述のうち，適切なものはどれか。
- ア 売手である登録事業者は，買手である取引相手（課税事業者）から求められたときは，適格請求書を交付しなければならないが，交付した適格請求書の写しを保存しておく必要はない。
- イ 公共交通機関（船舶，バス又は鉄道）による旅客の運送に係る全ての取引は，適格請求書を交付することが困難なので，適格請求書の交付義務が免除される。
- ウ 適格請求書には，区分記載請求書の記載事項に加え，登録番号，適用税率及び税率ごとに区分した消費税額等を記載する必要がある。
- エ 適格請求書発行事業者が国内において行った課税資産の譲渡などにつき，返品や値引き，割戻しなどの売上に係る対価の返還などを行った場合，金額の大小によらず，返還インボイス交付義務がある。
問16
リーダーシップのコンティンジェンシー理論の説明はどれか。
- ア 権限行使と命令統制による労務管理を批判し，目標管理制度や経営参加制度などによる動機付けが有効だとしたもの
- イ 恒常的に成果に結び付けることができる個人の行動や思考特性をモデル化し，これを評価や育成の基準にしたもの
- ウ 人間の基本的欲求を低次から，生理的欲求，安全の欲求，所属と愛の欲求，承認の欲求，自己実現の欲求と階層化したもの
- エ 唯一最適な部下の指導・育成のスタイルは存在しない，という考え方に基づいて，リーダーの特性や行動と状況の関係を分析したもの
問17
X.509におけるCPS（Certification Practice Statement）はどれか。
- ア 認証局が過去１年運用されている間に生成した監査ログの内容
- イ 認証局が公開している，失効した証明書のリスト
- ウ 認証局が証明書を発行，管理，失効，更新する際などの運用についての規定
- エ 認証局の運用の適切性を検証した検証結果報告書
問18
オープンリダイレクトを悪用した攻撃に該当するものはどれか。
- ア HTMLメールのリンクを悪用し，HTMLメールに，正規のWebサイトとは異なる偽のWebサイトのURLをリンク先に指定することによって，リンクをクリックした利用者を偽のWebサイトに誘導する。
- イ WebサイトにアクセスするとURL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し，利用者を偽のWebサイトに誘導する。
- ウ インターネット上の不特定多数のホストからDNSリクエストを受け付けて応答するDNSキャッシュサーバを悪用し，Webサーバに大量のDNSのレスポンスを送り付け，リソースを枯渇させる。
- エ 設定の不備によって，正規の利用者以外からの電子メールやWebサイトへのアクセス要求を受け付けるプロキシを悪用し，送信元を偽った迷惑メールの送信を行う。
問19
CRYPTREC の主な活動内容はどれか。
- ア 暗号技術の技術的検討，国際競争力の向上及び運用面での安全性向上に関する検討を行う。
- イ 情報セキュリティ政策に係る基本戦略の立案，官民における統一的，横断的な情報セキュリティ対策の推進に係る企画などを行う。
- ウ 組織の情報セキュリティマネジメントシステムを評価して認証する制度を運用する。
- エ 認証機関から貸与された暗号モジュール試験報告書作成支援ツールを用いて暗号モジュールの安全性についての評価試験を行う。
問20
DMZ 上のコンピュータがインターネットからの ping に応答しないようにしたいとき，ファイアウォールのルールで“通過禁止”に設定するものはどれか。ここで，この ping はエコーメッセージ（RFC 792）を利用しているものとする。
- ア ICMP
- イ TCP のポート番号 21
- ウ TCP のポート番号 110
- エ UDP のポート番号 123
問21
問21 “納品”表と“顧客”表の自然結合と同じ結果を得るSQL文はどれか。
- ア SELECT * FROM 納品 WHERE 納品.顧客番号 = (SELECT 顧客番号 FROM 顧客)
- イ SELECT * FROM 納品, 顧客 WHERE 納品.顧客番号 = 顧客.顧客番号
- ウ SELECT 納品.顧客番号, 納品.商品番号, 納品.納品数量 FROM 納品, 顧客 WHERE 納品.顧客番号 = 顧客.顧客番号
- エ SELECT 納品.顧客番号, 納品.商品番号, 納品.納品数量, 顧客.顧客名 FROM 納品, 顧客 WHERE 納品.顧客番号 = 顧客.顧客番号
問22
磁気ディスク装置，磁気テープ装置などの外部記憶装置とサーバとを，通常のLANとは別の高速な専用ネットワークで接続してシステムを構成するものはどれか。
- ア DAFS
- イ DAS
- ウ NAS
- エ SAN
問24
J.B. バーニーが提唱した VRIO フレームワークにおいて，自社の競争優位性を評価するための視点はどれか。
- ア 自社が属する業界における，競争の激しさ，新規参入者の可能性，顧客と自社との力関係，供給業者と自社との力関係
- イ 自社が属する業界における，市場規模，自社の強み，顧客ニーズの把握状況，競合と比べた自社の経営資源の優位性
- ウ 自社が保有する経営資源の経済的価値及び希少性，他社が同等の経営資源を獲得するためのコスト，その経営資源を活用するための組織的な方針
- エ 自社の外部環境における，政治的要因，経済的要因，人口動向や価値観の変化といった社会的要因，テクノロジの飛躍的進歩など技術的要因
問25
アンゾフの成長マトリクスを説明したものはどれか。
- ア 自社の強みと弱み，市場における機会と脅威を，分類ごとに列挙して，事業戦略における企業の環境分析を行う。
- イ 製品と市場の視点から，事業拡大の方向性を市場浸透・製品開発・市場開拓・多角化に分けて，戦略を検討する。
- ウ 製品の市場占有率と市場成長率から，企業がそれぞれの事業に対する経営資源の最適配分を意思決定する。
- エ 製品の導入期・成長期・成熟期・衰退期の各段階に応じて，製品の改良，新品種の追加，製品廃棄などを計画する。
出典
各問題の下に出典を記載しています。