監査計画・実施・証拠

要点と定義

システム監査は、情報システムに関するリスクへのコントロールが整備され、運用されている状況を評価し、改善につなげてITガバナンスの実現に寄与する活動です。情報セキュリティ監査とは目的や対象の整理を分けて考えます。

情報セキュリティ監査では、情報資産を守るための対策や管理状況を対象とします。コンピュータを使わない部署でも、紙の記録などの情報資産を扱うなら監査対象になり得ます。

情報セキュリティ監査の判断尺度には、出題時に示された基準では、原則として情報セキュリティ管理基準を用います。監査人は監査対象から独立した立場を保ち、必要に応じて他の専門家の支援を利用できます。

監査計画では、関連プロセスの重要性や過去の監査結果を考慮します。ここでの内部監査に関する要求は、出題時に参照されたJIS Q 27001:2014および情報セキュリティ管理基準（平成28年改正版）に基づくものです。

監査証拠は監査判断の根拠となる情報です。電子データの収集・解析・保全にはディジタルフォレンジックスが使われます。監査調書には実施した手続や入手した証拠、判断などを記録し、監査意見を裏付けます。

監査の実施では、システムテストについて正常系だけでなく例外や異常のケースも確認します。報告書原案を被監査部門と意見交換するのは、指摘事項や改善勧告の事実関係を確認するためです。

適用条件と例

たとえば、経費申請システムの監査では、承認記録やアクセス権限の運用を、定めた管理策やルールと照らして確認します。監査対象をシステムの画面だけに限らず、関連する情報資産とその管理まで見渡します。

監査計画の例として、前回に権限棚卸しの遅れが見つかり、今年は対象業務の変更もあった場合、その過去の結果とプロセスの重要性を踏まえて確認範囲や手順を検討します。

テスト記録を確認する場合、通常の申請が通ることだけでは十分とは限りません。必須項目が欠けた申請や、権限のない担当者による操作など、例外・異常時のテストも実施されたかを確かめます。