修了試験 2016-01-24実施分 基本情報技術者試験 問58

解説

正解は4です。 リスクアセスメントに基づく監査（リスクアプローチ）では、リスクの大きい対象に監査の資源を重点的に配分します。 リスクの大きさは、問題が発生する可能性と、発生した場合の影響の大きさで評価します。 限られた監査の時間と人員で効果を上げるための考え方です。 【選択肢別解説】 1：× 運用開始時期の順に全システムを監査するのは、リスクの大小を考慮していません。 リスクアセスメントに基づく選定ではありません。 2：× 監査を実施する側の体制だけで対象を選ぶのは、リスクではなく都合による選定です。 リスクの大きいシステムが漏れるおそれがあります。 3：× 無作為に抽出する方法は、リスクの大きさを考慮しない選び方です。 リスクアセスメントに基づく選定ではありません。 4：○ 問題発生の可能性と影響の大きなシステム、つまりリスクの高いシステムを優先して監査対象とします。 リスクアセスメントに基づく選定なので正しいです。 【ポイント】 リスクは「発生可能性」と「影響度」の2つで評価し、高いものから優先的に監査します。 監査計画を作るときは、このリスクアプローチが基本とされます。