修了試験 2018-01-28実施分 基本情報技術者試験 問59

解説

正解は4です。 リスクアセスメントに基づいて監査対象を選ぶ方法を問う問題です。 リスクアセスメントに基づく監査では、限られた監査資源を、リスクの大きな対象に重点的に配分します。 【選択肢別解説】 1：× 運用開始時期の順にすべてのシステムを対象とする方法は、リスクの大きさを考慮していません。 2：× 実施可能なシステムを対象とする方法は、監査体制の都合を優先しており、リスクに基づく選定ではありません。 3：× 無作為抽出は偏りのない選び方ですが、リスクの大きさを考慮していないので、重要なシステムが漏れるおそれがあります。 4：○ 問題が発生する可能性と、発生したときの影響の大きさを評価し、リスクの大きなシステムを優先して監査対象とするのが、リスクアセスメントに基づく選定です。 【ポイント】 リスクの大きさは、発生可能性と影響度の組合せで評価します。 監査計画では、このリスク評価の結果をもとに監査対象と重点項目を決めます。