令和4年秋期試験 午後問11(システム監査)についての投稿を受け付けるスレッドです。

全部記述式(ア～エら選ばない)なのびっくりしました

記述式でしたけど全部（多分？）本文から抜き出すだけだったので割りと解けたイメージですね

すごい簡単だったよね？

簡単すぎてとっても嬉しいです

組み込みといいシス監といい簡単すぎてまじでこわい
なんか回答小学生みたいなのばっかり

素直な問題が一番困る…

最初ってシステム利用者とシステム利用有無で合ってますか？

システム→テレワーク環境

それ簡単そうで分かんなかった

PC貸与管理台帳
と
テレワーク環境利用終了届

みたいなんにした覚え

過去問でこういうのあった

貸与PC管理台帳とテレワーク環境利用終了届にしたんですけど間違ってますか？?

届出と廃止ちゃうん？

届出と廃止にしました

管理台帳と利用終了届や！！

管理台帳と利用届および終了届…

終了届と従業員の異動、退職情報にしました
違いますね、、、

貸与PC管理台帳とテレワーク環境利用終了届にしましたー。

最後の問は、実物見ろよ  的なことでいいんだろうか

自分は貸与PC管理台帳とテレワーク環境利用終了届の写しにしました。
システム管理者は写しが返却されると書いてあったので

最後も「是正の実施状況についてモニタリングをしているか」って感じで問題文から抜き出したんですけど、当たってますかね？

貸与PC管理台帳とシステム部に提出した終了届
終了届はわざわざ長く書く意味ありますか。。。？

最後のは、
「現場での聞き取り調査を実施」とか勝手に書いてしまった、、

モニタリング的なことを書いたよ

モニタリングですね

終了届写し
管理台帳
セキュリティ要件を周知徹底
紛失日
システム部届け出日
リスク評価
WEB会議システム
不備の是正をモニタリング

あんま覚えてないがこんなかんじにしました。

最初の問題、従業員の異動や退職の情報と、終了届にしました。
各ユーザー部のシステム管理者が、異動や退職の度に、しっかりと終了届出すよう管理してるのか！？を監査するにはこの方法しかないかと思い。

貸与PC管理台帳読み飛ばしてた…終わった

私も終了届の写しにしましたが間違ってますかね…？

ぴよさんとほとんど同じになりました～
“システム部届け出日”のところだけ受付日にしましたが

紛失日
受付日
って記入しました。やはりシステム部への届出日なんでしょうか？受付日の理由は「システム部は、提出された紛失届の記載内容を確認し、受付日を記載した後に〜」と書いてあったからです。

この内部監査部長、ダメダメじゃね?って読みながら思ってた

営業部のZ氏が貸与PC紛失したまま1週間の休暇取得したの笑っちゃった
後でめっちゃ怒られるんやろなぁ

問1
a 終了届の写し（写しのこと書いてて怪しいと思ったから）
b 貸与PC管理台帳
問2
c 不備事項をシステム部に～～
問3
d 紛失日
e 受付日（システム部はこれを記載したらしい）
問4
f （なんて書いたか覚えてない）
g Web会議システム
問5 
（モニタリングが云々のやつ書いた気がします）

システム部に提出しているかどうかだから写しは関係ないと思うんだけどなあ
システム部にある現物を見ようが写しを見ようが違いがあるとは思えないです…

問1
a 貸与PC管理台帳
b テレワーク環境利用終了届
問2
c セキュリティ管理基準を遵守（今見返したら文脈おかしい）
問3
d 紛失日
e システム部への届出日（受付日が正しそう）
問4
f リスク評価
g Web会議システム
問5 
（何書いたか覚えてない）

これって写しである必要性ってありますっけ、
現物が残ってるしそっちで確認してもどっちでも正解になると思ったんだけどなー、、

自分もどっちでもいいと思ってる派ー。

１
貸与PC管理台帳
テレワーク環境利用終了届
２  
セキュリティ要件を周知
３
システム部への届出日
受付日
４
リスク評価
新規システム
５
不備事項の是正状況をモニタリング

問4のgってweb会議システムで決定ですかね？

web会議システム→6月から導入
三カ月前の点検には無くて、今回の点検から対象だから、
だと思ってました

設1
a 貸与PC管理台帳
b テレワーク～終了届
設2
c 情報セキュリティ管理基準を理解
設3
d 貸与PCの紛失日
e システム部への届出日
設4
f セキュリティ点検
g Web会議システム
設5
h 不備事項の是正状況をモニタリング

どうでしょう…。

上の人の回答で、あっててほしい

情報セキュリティ管理基準を理解
私も書きました笑

設問2は、セキュリティ要件の周知にしました。理解しているかどうかは、監査で確認しようがないかと。監査で確認できるのは、何らかの行動、この場合は周知する行動をきちんと取っていたか、ではないでしょうか。

設1
a 貸与PC管理台帳
b 終了届
設2
c 情報セキュリティ管理基準を遵守
設3
d 紛失日
e 届出日(届に記載されてる事項だから。文脈的に受付は違うかなと。)
設4
f リスク評価
g Web会議システム
設5
h 不備事項の是正状況をモニタリング

cは「不備事項の是正状況をシステム部に報告』にしました
後は大体皆さんのと変わらず

設問１
a:テレワーク～開始届
b:テレワーク～終了届
にしました。
問題文に「項番1について」と書かれていて、
項番１は「利用者の管理状況」だったので…
PCの管理状況は項番3にあるので、項番1ではPCのことではなく「届け出の手続きが正しいか？」を聞かれているのかと思いました。
深読みしすぎですかね。

管理台帳と利用終了届、と書いた後、手続きが保たれているのことかなと思ってしまい終了届の控えに書き直しました。
今回監査が一番難しかったです。何とでも書けてしまいそうな。。涙

あー！リスク評価！見逃していた…

私もユッキーさんと一緒です。  
一緒の回答の方がいて嬉しいです。

設3
d  紛失日
e 届出日
にしましたが、見返したらeは受付日が正しそうですかね
紛失日、届出日はどちらもシステム管理者が記述しますし、監査の対象としては正しくないように思えます。解答欄が紛失届に記載されている〇〇と〇〇となっていますが、a,bの解答欄と同じでそれぞれ全く別のワードが入る気がします。

配点は

設1  各3点(6点)
設2  3点
設3  各2点(4点)
設4  各2点(4点)
設5  3点

といった感じでしょうかね？

設問3
片方は紛失日として、もう片方は、システム部への届出日か、システム部が記入した受付日か、難しいですね。

私も届出日と書いて、今は受付日かと思いましたが、受付日の場合、紙はシステム部にその日に届いたとしても、記載内容の確認作業が入るなどの理由で、届いたのは今日だけど受付が翌日になる、という可能性も排除できない気がします。

実際には重要性を考えるとあり得ないと思いますが。

かといってシステム管理者が届出日を偽って記載する可能性も排除できません。ここでの監査の対象がシステム管理者であることを考えると、受付日がベターということでしょうか。

>届いたのは今日だけど受付が翌日になる、という可能性も排除できない気がします。

そうです。受付が翌日どころか翌週になることもあると思うので、届出がすぐという意味では届出日が正解かと思いました

a:利用届（あやしい）
b:終了届
c:セキュリティ要件を周知させる的なこと
d:紛失日
e:届出日
f:リスク評価
g:web会議システム
h:不備事項や是正状況をモニタリング

かなぁ。aだけちょっと怪しい

設問3
何度もすみません。改めて改めて問題点見ると、ここでの監査対象は、セキュリティ点検作業をちゃんとやっていたかの監査な気がしました。

だとすると、実際の紛失時にルール違反してたことがダメ、というより、点検でスルーしていたこと、つまりちゃんと点検ルール通りに点検してないじゃん、の状態がダメ、ということになります。

システム管理者が点検のため紛失届の写しを確認したとき、届出日が紛失日の翌々日以降だった場合、受付日が紛失日の翌々日以降だった場合、どちらが点検ルール違反なのか、はっきりしません。

点検ルールは表1の項番3しかありませんが、システム部に提出しているか、という文言のみのため、やはり定義が不明確と思いました。

システム部がちゃんと受け取ることが大事なので、自己申告の提出日ではなく受付日が正解な気がしますが、わからないですね。。。

a 従業員の異動や退職の情報
b 終了届
c セキュリティ要件を周知
d 紛失日
e 届出日
f リスク評価
g web会議システム
h 不備事項の是正状況をモニタリング

ab、deが不安です

Cは私もシステム部への報告云々のこと書きましたが違いますかね？

15文字以内って書いてからから
3文字はないと思いまーす

この投稿は投稿者により削除されました。(2022.10.09 22:00)

a テレワーク環境利用開始届
b テレワーク環境利用終了届
c セキュリティ点検の実施
d 貸与PCの紛失日
e システム部の受付日
f リスク評価
g web会議システム
h セキュリティ点検の項目及び内容を見直す

d,eは文字数によって蛇足感あり
c,hは不正解かな

設1
a 貸与PC管理台帳
b テレワーク〜終了届
設2
c セキュリティ要件を満た
設3
d 紛失日
e システム部への届出日
設4
f リスク評価
g よくわからなくて適当なこと書いた
設5
h 不備事項の是正状況をモニタリング

ab,de,fgって完全正答ですかね？それとも先に書いてる方の予想してるように各◯点って感じですかね？

15字以内でだったのは恐らく回答が2種類想定されていたからであってそのふたつの意味合いは変わらないのでその文字数自体に囚われない方がいいです。

みなさんに質問です。
私は今回初めて応用情報を受験しました。
システム監査は過去問を7問解いて慣れたつもりでしたが、今回の試験を受けて難しく感じました。
特にd,e,gが分からなかったです。
みなさんはどのように考えて、文章中から解答を探してますか。教えていただければ幸いです。

私は文脈を頼りにすることが多いです。

d 紛失日
e システム部への届出日
f：リスク評価
g 点検の項目
d,eは、セキュリティ点検の結果が根拠（書類）に基づくものかを確認するためのものだと考えました。f,gは本文中（情報セキュリティ管理状況の点検）（２）から導きました。
どお？

新しいシステムいれたらリスク評価随時やる  って書いてたからfは「随時のリスク評価」って書いてしまった。「リスク評価」でいいなら余計なことしたな…

cは、
セキュリティ要件の周知
情報セキュリティ管理基準を遵守(理解)

eは、
届出日
受付日

で割れてますね。

セキュリティ要件が周知されているかについて、セキュリティ点検の結果、業務管理部のシステム管理者が不備事項を報告していない

つまり、業務管理部のシステム管理者本人が
管理基準に精通できてない可能性があるのではないでしょうか。
そのためセキュリティ点検の結果を考慮して、システム管理者が管理基準を遵守しているかが正解な気がします

Cは具体的にセキュリティ要件考えなくて良いんですかね？
下線部まえにWi-Fiについてとも書いてあります。
問題文にパスワードの入力を必須とすることなど、セキュリティ要件を定めている。
とあるので「パスワードの設定を義務付け」と解答しました。

私もこんきちさんと同じです。

a テレワーク開始届け
b テレワーク～終了届
設2
c 不備事項を報告
設3
d 貸与PCの紛失日
e 受付日
設4
f リスク評価
g Web会議システム
設5
h 不備事項の是正状況をモニタリング

【設問1】
a テレワーク環境利用開始届
b テレワーク環境利用終了届
【設問2】
c 定期的にセキュリティ要件を周知
【設問3】
d 紛失日
e システム部への届出日
【設問4】
f リスク評価
g web会議システム
【設問5】
h 実際に不備事項を是正

設問aはもしかして外しちゃったのかなと、皆さんの解答を見て
思いました。
hは絶対これやと思って書いたのですが、実際にシステム部が是正
しなければならないわけでもなく、今となってはこれも
外したかなと思ってます。

【設問2】は、私も最初「定期的にwifiのパスワードを変更」と
書いたのですが、本文で「別のwifiを使って接続した」みたいな
ことを書いているので、そうするとパスワード変更だけではこの事故は
防げないなと。そうなると「セキュリティ要件を周知しろ、それも
定期的にな！」ということになるなと思い、最終解答にしました。
【設問3】のeを届出日にした理由は、届出側がルールを
遵守しているか？の観点から見ると、受付日よりも届出日がポイントに
なるのかなぁと。

１のa、私も「テレワーク環境利用開始届」です。
「貸与PC管理台帳」の人が多いので不安なんですが、「開始届」が提出された利用者の情報が「貸与PC管理台帳」に記入されるだけなので、記載されている利用者の情報は結局同じですよね？

令和3年度春期の情報処理安全確保支援士試験、午後一問２の設問１「DNSリソースレコードのタイプ名を6字以内で答えよ」で、
答えが「A」1文字だったこともあるので、文字数はあまり関係なさそうです。

下記のように考えて、貸与PC管理台帳と終了届にしました。

①システム部が利用する貸与PC管理台帳の「テレワーク環境の利用有無」と、終了届を照合して、
まず台帳に記載の「テレワーク環境の利用有無」を正確なものとする（＝「a」と「b」の照合）

②「テレワーク環境の利用あり」の貸与PCについて、余すことなくセキュリティ点検を行っているかを確認する（＝①の照合結果とセキュリティ点検の結果との整合性確認）

問5（h）
紛失届提出期限を守らなかったＸ氏を処罰

これではだめですか？

75さんに同感で、aはpc管理台帳ではないのではないか、と感じてます。

例えば退職者がいて、その人やシステム管理者が終了届を出すのを忘れていた場合、pcx管理台帳には退職者が記載されたままでしょうから、pc管理台帳と終了届を付け合わせても、出し忘れを認識することはできない気がします。

じゃあ何の情報と付け合わせればいいのさ？というと人事情報などが考えられると思いますが、本文に明確な記載がなく、困った人もいると思いました。

退職者が終了届を出し忘れている場合でも、PCを返却する時に管理台帳に記入するはずなので、終了届と管理台帳を照合する意味はあるかと思います。

今までに出された開始届、および終了届を失くさず全部保管していれば開始届と終了届の突合せで確認してもよいと思いますが、その保管記録の役目を担っているのがPC管理台帳かなと。

No.79さんのおっしゃることは解答がpc管理台帳では不十分な可能性がある理由ではありますが、
pc管理台帳よりも開始届のほうが適切な解答である直接の理由ではないと思います。

管理台帳だと、テレワークしてない社員の情報もたくさん載ってますよね
開始届だとテレワーク社員に絞って突き合わせできるので、管理台帳と付き合わせるより効率的なのでは？と思って開始届にしました。

ただ正直、管理台帳も開始届でもどっちでも良いのでは？と思います。

テレワーク利用開始届に利用終了予定日って項目があると明記されていれば、そこと終了届を照合することで終了届が漏れなく提出されているか確認可能とは思いますが、
記載の内容だと利用開始届と終了届を突き合わせてわかることって何日利用したか程度しかないと思うんですけどね…

aとb
テレワーク環境利用終了届と、終了届の写し
にしちゃったわ…
点検内容が「修了届をシステム部に提出しているか」だったから、システム部への提出とシステムへの登録完了の証跡って意味で…
提出はされたけど、管理台帳への登録が漏れてる場合もあるだろうけどそれはこの点検内容とは違うもんなと思い…

深読みしすぎたか

結構意見というか、回答が分かれてますね。
ということは、簡単そうに見えて実は難しかったのか。。。

「管理台帳」or「開始届」といい、「セキュリティ要件の周知」or「情報セキュリティ管理基準を遵守」といい、「受付日」or「提出日」といい、回答の割れてる問題が結構多いですね。
しかも全部、正直「どっちでもいいだろ」って感じです。

模範解答はあると思いますが、もう片方も明らかに間違いとはいえないので、いっそ両方正解にしてほしいです汗

今回のシステム監査かなり国語力が試されてる印象です。
特に何も考えずに解いていくと、開始届と終了届で綺麗に対になってるから選びがちな人が多い気がする。。。（私もその一人ですが 泣）

81さん
79です。そうですよね。そのため、終了届と、異動や退職の情報としてみました。
本文中にある言葉そのままではないですし、こちらも十分条件ではない気もしますが、ここらが限界でした。筋が通るものであれば正解としてほしいと思ってしまいますね。

設1
a 貸与PC管理台帳
b テレワーク～開始届
設2
c 情報セキュリティ管理基準を把握
設3
d システム部への届出日
e 受付日
設4
f リスク評価
g Web会議システム
設5
h 不備事項の是正状況をモニタリング

1bで開始届としたのは問題文で「(a)と(b)を照合した結果と、セキュリティ点検の結果との整合性～」
あったので終了届はセキュリティ点検で使ってるので台帳と開始届を使えば網羅できて整合性が確認できるのかなと

「受付日」or 「届け日」なのですが、設問には「紛失届に記載されている」と前置きがされているので届け日だと思います。(この前置きがなかったらどっちにも取れそうですね、、)

いつぞやのIPAの正答で複数種類あった回がありました。確かセキュリティ。

今回もそれにしてくるかもしれませんね。

テレワーク環境利用有無は「有」「無」しかないと思い、日付の照合はできないなと思いaは～開始届にした。

ただ、セキュリティ観点としては貸与PC管理台帳を比較要素として挙げるのは正しい気もします。

監査として何が抜け漏れしてないか？が確認したいかで、答えが変わるので微妙な問題ってのが所感ですすね。

受付日も紛失届に記載ですよ。
なのでそれでは絞れないのです。。

何だかんだで利用届でも管理台帳でもなく、退職/異動者の一覧リスト的なのが答えな気もしてきましたね

自己申告の届出日だと、pcなくして1週間放置するようなズボラな人は提出前日の日付を書いて翌日提出とかもしそうなので、やはり受付日な気がするな〜

95さんに1票です。

届出日が自己申請ってのが引っかかって受付日にしました。

システム部はさすがに、来たら最優先で対応するでしょ！とは思いました。
そっちも放置されたら受付日も1週間後とかなりますが…

もう、モヤモヤですね。

紛失届を記入して提出するのは紛失した従業員ではなくシステム管理者なので自己申告ではないですね
システム管理者が紛失すればそうなることはありそうですが

システム管理者が記載する点

届出日を記載した上で翌日までに提出する点

があるので、信用できる届出日になると思います。

一方で受付日はシステム部が届出の内容を確認した上で記載する日付です。提出した翌日に受付となる事情はいくらでもあるので、受付日を届出日として扱うのは難しいと社内SE的には思います

なるほど、届出日記入が管理者である点を見逃していました。
となると、確かに届出日が正答な可能性が高いですかねえー

この問題に限らず引っかけのワードが結構多くて、案外難問ですねこの大問

紛失者の自己申請ではなくシステム管理者ですね。
失礼しました。

システム管理者が紛失日と届出日のどちらも記載するってところが、不正できる可能性があると考えました。

受付日であれば、ダブルチェックな意味でも別部署(別な人)という信頼性があるかなと。

もう、どっちも正解にしてくれですねw

確かにああああさんのおっしゃる通り、この監査は当然システム管理者も監査対象にあるので、システム管理者の記載をそのまま信じるのも違和感ありますね。
システム管理者が、部下の紛失を知った後にしばらく放置することもあるわけで。その後、届出日を紛失翌日と繕って提出する可能性も。考えすぎだろうか汗
いやー、ほんとわからない。。。

システム管理者の偽装を疑うと、
紛失日も信用出来なくなってしまいます

考えようによっては、システム部と手を組めば受付日の偽装も可能になりますよね、、、笑

社内SE的には、内容の精査まで含めると後日受付することはいっぱいあるので受付日はNGだろうな
と問題見た瞬間思いました

届出日の信用性を否定すると紛失日も否定しないと行けないので、なおさら届出日が正解だと思いました

PC管理番号にした私は部分点もらえますか？

システム監査に部分点ってあるのでしょうか？

aの開始届と貸与PC管理台帳、正直どっちでも理屈はつきますよね？
a、d、eあたりの解釈割れてる回答には、甘めの部分点いただきたいです……

個人的には利用届に関してはテレワークを終了することに関する情報がないので、終了届と照合してもどうしようもないと思うんですよね

まだ管理台帳の方がテレワークの利用有無の項目があるのでそこの変更履歴があるPCとでまだ照合しようがあるかなと

cも割れてますがどうでしょう？
セキュリティ要件の周知、と書いた人が多そうですが、結果を考慮する業務管理部のセキュリティ点検で「セキュリティ要件の周知」は点検してるので、同じのをもっかい確認するか？と思ってしまいました。

セキュリティ要件(WiFi)の周知状況に関して
業務部の点検結果として、
システム管理者が不備事項を報告してないような状況であることが判明しています

つまりシステム管理者大丈夫？という状況なので
システム管理者が管理基準を遵守(理解)
出来ているか口頭試問等で監査するんでしょうね。と思いました

109さん
業務部でセキュリティ要件違反のWi-Fiを使用してしかも情報流出が発生してしまった記載はありますが、業務部がセキュリティ点検等で不備事案として報告しなかったとの記載はないと認識してます。
セキュリティ要件違反の使用やまして情報流出は言語道断ではありますが、ここでの監査目的はそういった不備事項をちゃんと報告していたかどうか、という観点だと思いますので、もし報告されていたのであればこの監査だけの話で言えば◯ということになるかと思いました。
もちろん、理解しているかどうかを口頭で確認することも意味があるとは思いますが。
とすると解答候補は、
1.理解しているかを口頭で確認
2.周知する行動を取っているかを確認
3.不備事項、または不備事項の是正状況を報告しているかを確認
といったところでしょうか。
ただし問題文(5)には、不備事項の是正状況を報告しているかどうか確認するだけでは不十分、と記載されていますので、その文脈で上記3を正解とさせるかは問題としてどうかな、と思いました。

業務部のシステム管理者がセキュリティ点検等で不備事案として報告しなかったとの記載はありますよ

111さん
110です。やっと記載発見しました！ページ跨りで完全に頭から抜けていたようです。ありがとうございます。

ちゃんと周知してます！＝内容はわからないけどメールの転送はした、って人もいるので、
監査側としての確認としては、管理基準を遵守(理解)しているか？が大事かなと思いました。

終了届とか届出日とかってフルで書いたら減点とか流石にないでよね、、、？

届出日も端末管理台帳も全部合ってて良かったです。
セキュリティ管理基準の遵守
は駄目ですかね

最後についてですが、

実際に不備についての対応状況を確認

って書いたのですが、どう思いますか？

設問5hで「各部のセキュリティ点検のフォローアップ」
と記述したのですが、どうなると思われますか、？

翌日までに出す管理に対してシステム部が即日対応しないほうが不自然なので受付日にしました

この投稿は投稿者により削除されました。(2022.10.12 17:08)

みなさまお疲れ様でした
もうそろそ何を記述したか忘れそう。。。
設問１ですが  PC管理台帳と終了届の写しではだめなのでしょうか？
管理台帳も終了届もシステム部保管なので  監査としては管理者が保管している
写しのほうが正しいと思いまして。
いかがでしょうか。

終了届とか届出日って『テレワーク～』や『システム部への』をつけたら
不正解になるんでしょうかね。

TAC等の回答ではついていませんでしたので。

Bさん
それはどっちでもいい内容だと

俺らの学校の模範解答
受付日でしたよ。
やったぜ！

最後の問題の監査手続きで足りてないことって
可監査性を維持しているか確認する的な答えって部分点くれると思いますか？

TAC、ITアシスト→届出日
ITEC→受付日

資格部も受付日やで

変更の為の業務設計は定常業務で追加された作業ではないですからね。
この変更におけるアップデートの適用はテスト環境での検証の後に行う手順とするとあるように今回の変更によって追加された作業であることは明白です。

午後解答でました
設問1～3までTAC等と随分異なっていましたね。。。