問39 処理の流れを追跡する監査技法

情報セキュリティマネジメント試験令和元年度秋期午前、全50問のうちの問39。

データの生成から入力，処理，出力，活用までのプロセス，及び組み込まれているコントロールを，システム監査人が書面上で又は実際に追跡する技法はどれか。

アインタビュー法
イウォークスルー法
ウ監査モジュール法
エペネトレーションテスト法

答えと解説を開く

正解はイです。

ウォークスルー法では、監査人が、ある取引のデータを例にとり、データの生成、入力、処理、出力、活用の順に、業務の手順書やシステムの設計書などの書類の上でたどったり、実際の業務の現場で確かめたりします。その途中に、承認や照合などのコントロールが決めたとおりに組み込まれ、働いているかを確かめます。問題の「追跡する技法」に当たるのはこれです。正解はイです。

ほかの選択肢が違う理由

アインタビュー法は、監査の対象の部門の担当者などに質問して、答えから実態を確かめる技法です。流れを追跡する技法ではありません。
ウ監査モジュール法は、監査人が指定した条件のデータを取り出す仕組み (監査用のモジュール) を、監査の対象のプログラムに組み込んでおき、運用中にデータを集める技法です。
エペネトレーションテスト法は、外から実際に攻撃をして、システムに侵入できるかを試し、セキュリティの弱点を確かめる技法です。

仕組み

ウォークスルーは「歩いて通り抜ける」という意味です。データの通り道を最初から最後まで歩いてみる、と考えると覚えやすくなります。

監査の技法は、聞く (インタビュー法)、たどる (ウォークスルー法)、仕掛けておく (監査モジュール法)、攻めてみる (ペネトレーションテスト法) のように、何をするかで見分けます。