ITパスポート試験 ITパスポート 2014年 (平成26年 秋期) 問83: 社内のISMS活動の一環として,サーバのセキュリティについて監査を行うことになった。最初に実施することとして,適切なものはどれか。

正解

ア. 監査の計画書を作成する。

正答率 59.7%（823人中 491人が正解）

問題の解説

監査は、計画を立て、その計画に従って証拠を集める実施の段階へ進み、結果を報告し、必要に応じて改善を確認する、という順序で進める。何を、どの範囲で、どんな方法・日程・体制で監査するかを決めないまま作業を始めると、的外れになる。したがって、最初に実施するのは監査の計画書の作成である。

選択肢ごとの解説

• ア正しい。監査の目的、対象範囲、方法、日程、体制などを計画書にまとめるのが、監査の最初の作業である。
• イセキュリティ設定の見直しは、監査で問題が見つかった後の改善作業に当たる。監査の最初の作業ではない。
• ウ監査用ログの所在確認は、計画に基づいて証拠を集める実施段階の作業である。計画より前には行わない。
• エ脆弱性検査ツールによる確認は、計画で決めた方法として実施段階で行う作業である。最初に行うことではない。