情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和5年度 科目A 公開問題 問9: 情報システムのインシデント管理に対する監査で判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

正解

ウ. インシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。

正答率 51.4%（35人中 18人が正解）

問題の解説

システム監査における指摘事項とは、統制上の不備や改善を要する問題点を指す。インシデントの種類や影響度に関係なく連絡・報告ルートが一律であると、重大インシデントの迅速なエスカレーションができず適切な対応が阻害されるため、これが指摘事項となり正解はウである。他の選択肢はいずれも望ましい統制が機能している状態であり、指摘の対象ではない。

選択肢ごとの解説

• ア対応手順が作成され関係者に周知されている状態は適切な統制であり、指摘すべき不備ではありません。
• イ規程に従ってバックアップを取得し被害の影響を最小化している状態は望ましい統制であり、指摘事項にはなりません。
• ウ影響度に関係なく連絡・報告ルートが共通だと重大事案の迅速な報告・エスカレーションができず対応が遅れるため、改善を要する指摘事項として正しい記述です。
• エ全インシデントで記録を残し責任者の承認を得る定めは適切な統制であり、指摘事項にはなりません。