今回の基本情報対策は、引き続きサービスマネジメントです。システム監査のほか、SLAに関する問題を選びました。「SLA」のような略語は元の言葉が分かっていると、問題が解きやすいかもしれません。
問題 1
SLAを策定する際の方針のうち，適切なものはどれか。 (基本情報技術者試験 平成25年秋季 午前問56)
(A) 考えられる全ての項目に対し，サービスレベルを設定する。
(B) 顧客及びサービス提供者のニーズ，並びに費用を考慮して，サービスレベルを設定する。
(C) サービスレベルを設定する全ての項目に対し，ペナルティとしての補償を設定する。
(D) 将来にわたって変更が不要なサービスレベルを設定する。
正解は B。
SLAとは、サービスの利用者と提供者の間で結ばれる、サービスの品質水準に関する取り決めのことです。
SLA…Service Level Agreement
(A) 考えられる全ての項目に対し，サービスレベルを設定する。
これは誤りです。すべての項目を対象にするとコストが増加するため、利用者のニーズや費用を勘案して、対象を決定する必要があります。
(B) 顧客及びサービス提供者のニーズ，並びに費用を考慮して，サービスレベルを設定する。
これは正しいです。
(C) サービスレベルを設定する全ての項目に対し，ペナルティとしての補償を設定する。
これは誤りです。SLAの取り決め項目には、ペナルティを伴う目標保証型と、伴わない努力目標型があります。
(D) 将来にわたって変更が不要なサービスレベルを設定する。
これは誤りです。SLAは、取り扱う業務量の変化や優先度の変更などによる、定期的な見直しが必要になります。
問題 2
アクセス制御を監査するシステム監査人がとった行動のうち，適切なものはどれか。 (基本情報技術者試験 平成25年秋季 午前問59)
(A) ソフトウェアに関するアクセス制御の管理表の作成と保管
(B) データに関するアクセス制御の管理状況の確認
(C) ネットワークに関するアクセス制御の管理方針の制定
(D) ハードウェアに関するアクセス制御の運用管理の実施
正解は B。
システム監査とは、信頼性、安全性、効率性の向上のために、システムを評価し、助言、勧告、フォローアップを行うことです。
(A) ソフトウェアに関するアクセス制御の管理表の作成と保管
これは誤りです。管理表の作成作業は、監査人がとるべき行動ではありません。
(B) データに関するアクセス制御の管理状況の確認
これは正しいです。アクセス制御の管理状況の確認は、安全性を評価する目的における、監査人の適切な行動です。
(C) ネットワークに関するアクセス制御の管理方針の制定
これは誤りです。管理方針の制定は、監査人がとるべき行動ではありません。
(D) ハードウェアに関するアクセス制御の運用管理の実施
これは誤りです。運用管理の実施は、監査人がとるべき行動ではありません。
問題 3
システム監査で実施するヒアリングに関する記述のうち，適切なものはどれか。 (基本情報技術者試験 平成25年秋季 午前問60)
(A) 監査対象業務に精通した被監査部門の管理者の中からヒアリングの対象者を選ぶ。
(B) ヒアリングで被監査部門から得た情報を裏付けるための文書や記録を入手するよう努める。
(C) ヒアリングの中で気が付いた不備事項について，その場で被監査部門に改善を指示する。
(D) 複数人でヒアリングを行うと記録内容に相違が出ることがあるので， 1人のシステム監査人が行う。
正解は B。
システム監査におけるヒアリングは、監査対象の部門に対して聞き取り調査を行うことです。
(A) 監査対象業務に精通した被監査部門の管理者の中からヒアリングの対象者を選ぶ。
これは誤りです。ヒアリングの対象者は管理者のみではありません。
(B) ヒアリングで被監査部門から得た情報を裏付けるための文書や記録を入手するよう努める。
これは正しいです。入手した文書や記録により、ヒアリングした内容との整合性を検証することができます。
(C) ヒアリングの中で気が付いた不備事項について，その場で被監査部門に改善を指示する。
これは誤りです。被監査部門に直接指示をするのではなく、監査の依頼者に改善の助言をします。
(D) 複数人でヒアリングを行うと記録内容に相違が出ることがあるので， 1人のシステム監査人が行う。
これは誤りです。複数人でヒアリングすることにより、偏りをなくして、総合的に判断することができます。