問問1
情報システム導入の決定過程におけるリスク評価に関する監査について
組織においては,事業戦略の一環として,未経験の開発手法や新技術を用いた大規
模システム,機微情報を海外拠点と共有するシステムなどの新たな情報システムを導
入することがある。これらの情報システムでは,現行システムの開発及び運用で既に
特定されているリスクだけではなく,当該情報システム導入に伴う新たなリスク(以
下,特有のリスクという)が生じる可能性がある。したがって,当該情報システム導
入の決定過程においては,特有リスクを特定して評価するだけではなく,対応策を
実施することによって,そのリスクの大きさがリスク許容範囲内まで低減できるかど
うかを評価する必要がある。
例えば,国を越えて個人情報を共有するシステムの導入では,他国の個人情報を保有
し,活用することで生じるリスクを特有のリスクとして特定する必要がある。また,国
内の個人情報保護法に基づいた対応策だけでなく,各国のルールに基づいた対応策が求
められる。特有のリスクが顕在化する要因は完全には予測できない可能性があるので,
リスク顕在化の防止策だけでなく,顕在化の兆候の発見策も重要となる。これらの対応
策によって,特有のリスクの大きさが十分に低減可能と評価できるようになる。
システム監査人は,情報システム導入の決定過程において,特有リスクが適切な
評価方法に基づいて評価され,対応策によってそのリスクの大きさがリスク許容範囲
内まで低減できると評価されているかどうかを確かめる必要がある。
あなたの経験と考えに基づいて,設問アーウに従って論述せよ。
設問アあなたが関係した情報システムの概要及びその目的,並びに導入に伴う特有の
リスクについて,400字以上800字以内で述べよ。
設問イ設問アで述べた特有のリスクを特定した理由,そのリスクの大きさを含めた評
(MAK,並びにその特有リスクに対する防止策及び発見策について,700 FL
£1,400字以内で具体的に述べよ。
設問ウ設問イを踏まえて,特有のリスクが適切に評価され,対応策によってそのリス
クの大きさがリスク許容範囲内まで低減できることが適切に評価されているかど
うかを確かめるための監査手続について,700字以上1,400字以内で具体的に述
べよ。
ea om
[xモ用紙)
ー5一
問問2
災害を想定した情報システムの業務継続計画の監査について
企業などの組織では,大規模自然災害などの発生時に重要な事業が継続できなくな
る事態に備えて,事業継続計画を策定することが求められている。一方,事業におけ
る情報システムの重要性が高まることに伴い,事業継続計画と整合した情報システム
の業務継続計画(以下,IT-BCPという)の重要性はますます高まってきている。
IT-BCPには,重要な事業を支える情報システムの目標復旧時間,目標復旧レベル,
及び目標復旧時点,並びにそれらの目標を確保するための体制,対策などが示されて
いる必要がある。また,大規模自然災害などの発生時に想定外の事態となった場合に
おいても,可能な限り柔軟に対応できるIT-BCPを策定することが求められている。
このようなIT-BCPを策定するためには,災害の発生原因からだけではなく,災害
が発生した場合の結果の事象(以下,結果事象という)からリスクを把握して分析し,
評価することも有効である。例えば,岩災と火災という発生原因が異なる災害であっ
ても,“データセンターの機能喪失'という結果事象は同じである。また,IT-BCPの
実効性を確保するためには,IT-BCPの訓練を実施することに加え,IT環境の変化を
踏まえて想定する結果事象を見直すとともに,IT-BCPの内容を適時に見直すことが
重要になる。
システム監査人は,以上のような状況を踏まえて,IT-BCPが適切に策定され,実
効性が確保されているかどうかを確かめる必要がある。
あなたの経験と考えに基づいて,設問アーウに従って論述せよ。
設問アあなたが関係する情報システムの概要,当該システムを利活用する事業の概要
及び事業継続が必要な理由,並びに当該システムに係るIT-BCPの概要について.,
400字以上800字以内で述べよ。
設問イ設問アで述べたIT-BCPについて,目標復旧時間,目標復旧レベル,及び目標
復旧時点が妥当かどうか,並びにそれらの目標を確保するための体制,対策が整
備されているかどうかを確かめるための監査の着眼点について,700字以上
1,400字以内で具体的に述べよ。
設問ウ設問ア及び設問イを踏まえて,IT-BCPの実効性が確保されているかどうかを
確かめるための監査手続について,想定する結果事象の見直しとの関連を含めて
700字以上1,400字以内で具体的に述べよ。
ー6一
[メモ用紙〕
ーー