システム監査技術者試験の全問題一覧
科目A-1（多肢選択式）
- システム監査の目的として最も適切なものはどれか。
- システム監査における「独立性」と「客観性」の違いに関する記述として最も適切なものはどれか。
- あるシステム監査人が、3年前に自ら要件定義を担当した業務システムについて、今回のシステム監査でその一部を監査対象とすることになった。この状況における最も適切な対応はどれか。
- システム監査の実施プロセスにおける一般的な順序として、最も適切なものはどれか。
- システム監査における「監査手続」の説明として最も適切なものはどれか。
- システム監査で用いられる「チェックリスト法」と「インタビュー法」の特徴の違いに関する記述のうち、最も適切なものはどれか。
- あるシステムにおいて、特定の脅威が1年間に発生する確率が5％、発生した場合の想定損失額が4,000万円であるとき、年間の損失期待値はいくらか。
- システム監査人が、アクセスログの分析結果とシステム管理者への口頭でのヒアリング結果のみに基づいて「アクセス制御は適切に運用されている」との監査意見を形成しようとしている。この監査手続に関する指摘として最も適切なものはどれか。
- システム監査報告書で指摘した改善事項について、監査対象部門から改善計画の提出を受けた後、システム監査人が行うべき最初の対応として最も適切なものはどれか。
- システム監査における「監査調書」の役割に関する記述として最も適切なものはどれか。
- システム監査計画の策定における「リスクアプローチ」の考え方として、従来型の網羅的な監査と比較した際の特徴の説明で最も適切なものはどれか。
- ある監査手続で母集団2,000件の取引データからランダムに100件を抽出して検証したところ、3件の統制逸脱が検出された。このときのサンプルにおける逸脱率はどれか。
- システム監査人が本調査に先立ち、監査対象部門から業務フロー図や情報システムの構成図等の資料を収集し、規程や過去の監査結果を確認した。この活動の目的として最も適切なものはどれか。
- システム監査における「準拠性」の検証と「有効性」の検証の違いに関する説明として最も適切なものはどれか。
- システム監査人が、あるシステムの開発プロジェクトにおいて要件定義書のレビュー記録が一切保存されていないことを発見した。この状況で最初に確認すべき事項として最も適切なものはどれか。
- システム監査においてウォークスルー法を用いて業務処理の統制を確認する際の実施順序として、最も適切なものはどれか。
- ある監査部門の年間監査工数が2,400人時であり、リスク評価の結果、全監査対象領域のうち高リスク領域に60％の工数を配分する方針とした。高リスク領域に配分される工数はどれか。
- 監査対象システムのアクセス権限一覧が1,200件ある。この中から抽出率10％でサンプルを抽出して監査手続を実施する場合、抽出件数はどれか。
- システム監査人が監査の結果として表明する「保証」の説明として最も適切なものはどれか。
- システム監査人が本調査の過程で、経営者の関与が疑われる不正の兆候を発見した。この場合の対応として最も適切なものはどれか。
科目A-2（多肢選択式）
- あるシステムの監査で、本番環境への変更が担当者の判断だけで反映されており、正式な承認記録が残っていないことが判明した。この場合、監査人が次に実施すべき対応として最も適切なものはどれか。
- システム運用部門の特権ID(管理者権限)が複数の担当者で共有され、個人ごとの操作ログが残らない運用になっていることが監査で判明した。このリスクに対する指摘として最も適切なものはどれか。
- 個人情報を第三者提供した際の記録を確認したところ、提供先の名称は記録されていたが、提供年月日の記録が一部欠落していることが判明した。監査人がとるべき対応として最も適切なものはどれか。
- クラウドサービスを利用する委託先から入手したSOC2報告書に、一部の統制について「例外事項あり」との記載があった。監査人の対応として最も適切なものはどれか。
- あるシステムで、アプリケーション開発者が本番環境のデータベースに直接アクセスし、データを更新できる権限を保持していることが判明した。この状況に対する監査人の評価として最も適切なものはどれか。
- BCP(事業継続計画)に基づく訓練を実施した結果、目標復旧時間(RTO)内に基幹システムを復旧できなかった。この結果を受けて監査人が報告書に記載すべき内容として最も適切なものはどれか。
- あるシステムでは6時間ごとにフルバックアップを取得している。バックアップ完了直後に障害が発生する場合と、次のバックアップ取得の直前に障害が発生する場合とを比較すると、このバックアップ運用から想定される最大のデータ損失時間、すなわち実質的なRPO(目標復旧時点)はどれか。
- あるシステムは1か月(30日、720時間)運用され、当月の停止時間の合計は3.6時間であった。この月の稼働率(可用性)はどれか。
- 内部統制の運用状況を確かめるため60件のサンプルを抽出して検証したところ、5件の逸脱(統制の不備)が検出された。このサンプルにおける逸脱率はどれか(小数第2位を四捨五入)。
- あるリスクの年間発生確率が20%、1回発生した場合の想定損失額が500万円と見積もられている。このリスクの年間予想損失額(ALE)はどれか。
- システムの本番環境に対する変更管理プロセスにおいて、次のa~dの作業を適切な順序に並べたとき、3番目に実施すべきものはどれか。 a. 変更内容のテスト環境での検証 b. 変更管理責任者による変更の承認 c. 変更要求の申請 d. 本番環境への変更の反映と結果のレビュー
- 大規模災害により基幹システムが停止し、BCP(事業継続計画)を発動した。初動対応として最初に実施すべきものはどれか。
- システム監査の実施プロセスにおいて、監査計画の策定後に行う手続を適切な順序に並べたとき、2番目に実施するものはどれか。 a. 予備調査(監査対象の実態把握) b. 監査報告書の作成と報告 c. 本調査(監査手続の実施による証拠収集) d. フォローアップ(改善状況の確認)
- IT全般統制とIT業務処理統制の関係についての記述として最も適切なものはどれか。
- 内部統制における「3つの防衛線(3ラインモデル)」の考え方についての記述として最も適切なものはどれか。
- 情報セキュリティ監査において実施される「脆弱性診断」と「ペネトレーションテスト」の違いに関する記述として最も適切なものはどれか。
- 事業継続計画(BCP)における代替拠点(バックアップサイト)の類型に関する記述として最も適切なものはどれか。
- COSOの内部統制フレームワークにおける5つの構成要素に含まれないものはどれか。
- 個人情報保護法における「安全管理措置」の説明として最も適切なものはどれか。
- システム監査において、外部委託先の管理状況を評価する際に確認すべき契約上の要素として最も適切なものはどれか。