令和5年度 問9｜システム監査・情報セキュリティ監査

正解：ウ インシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。

ポイント

インシデント管理の監査で、指摘事項として記載すべき状況を選ぶ問題です。

考え方と解き方

指摘事項は、基準に照らして問題のある状況です。適切に整っている状況は、指摘事項にしません。問題のある運用が1つだけ混ざっているので、それを探します。

1. インシデントの種類、発生箇所、影響度合いに関係なく、連絡・報告ルートが共通だと、重大なものも軽微なものも同じ扱いになります。状況に応じた連絡・報告ができない問題のある状況です。
2. 問題のある状況は、この記述だけです。したがって、最も適切なのは ウ です。

ほかの選択肢

• ア 対応手順の作成と周知は、適切に整っている状況です。指摘事項にはしません。
• イ 規程に従ったデータのバックアップは、影響を小さくする適切な運用です。指摘事項にはしません。
• エ 全てのインシデントについて記録を残し、責任者の承認を得ることは、適切に整っている状況です。指摘事項にはしません。

覚えておくこと

• 指摘事項：基準に照らして問題のある状況。問題のない状況は、指摘事項に記載しない
• 監査報告書：結論と指摘事項、改善提案を、依頼者などに報告する

（テーマ・覚えること）