問題 No.4157
情報セキュリティ監査において、監査人は被監査部門から独立した立場で検証を行うことが求められます。この「独立性」に関する記述として、最も適切なものはどれか。
【正解の解説】
監査人は、客観的な意見や結論を表明するために、被監査部門の利害関係から独立しており、精神的および組織的な中立性が確保されていなければならない。
通信簿をつける先生が、テストを受ける生徒と仲良しだったら公正な評価ができませんよね。それと同じで、情報セキュリティ監査でも、監査対象の部署とズブズブの関係になってしまうと「まあ、ここは大目に見ておこうか」という甘えが生じてしまいます。そのため、組織の力関係や個人的な感情に左右されず、厳しく公平にジャッジできる独立した立場が絶対に不可欠なのです。
スポンサーリンク
【その他の選択肢の解説】
監査人は、経営層からの直接的な指示に基づき迅速な指摘を行うために、被監査部門の業務プロセスへ積極的に参画し利害関係を共有していなければならない。
自ら進んでテスト問題を作った本人がそのまま採点するようなものです。監査人が被監査部門の業務に入り込んで一緒に仕事をしてしまうと、自分が作った仕組みの不備を自分で指摘することになり、客観的な評価が一切できなくなってしまいます。試験では「一緒に協力して良い結果を出そう」という善意の罠として出題されやすいので要注意です。
監査人は、効率的な検証作業や十分な証拠資料の収集を行うために、被監査部門と事前に監査項目をすり合わせて実務的な合意を形成しておかなければならない。
学校の期末テストの前に、先生が「ここだけは出さないでおくから安心してね」と生徒と裏で約束してしまうようなものです。監査の項目や範囲を事前に相手の都合の良いように合わせてしまったら、隠したい不正や脆弱性を見逃す温床になってしまいます。効率的という耳障りの良い言葉に惑わされず、監査はあくまでサプライズも含めて厳格に行うのが鉄則です。
監査人は、発見された脆弱性や不備に対して的確な是正措置を講じるために、監査後も継続して被監査部門のセキュリティ対策の運用管理を主導していなければならない。
警察官が泥棒を捕まえた後、そのままその家の防犯対策の責任者として住み込みで警備を続けるような状態です。監査人はあくまで「第三者の目でチェックしてアドバイスする立場」であり、自分でシステムを直したり運用したりする当事者になってはいけません。プレイヤーとレフェリーを兼務してはならないという、監査における最大のタブーを突いた典型的なひっかけ選択肢です。