JIS Q 27002における運用システム監査時のデータ保護と読出し専用アクセス

JIS Q 27002において、本番・運用システムに対する情報システム監査活動が業務処理やデータ整合性に悪影響を及ぼさないよう、テスト時のソフトウェアや本番データへのアクセス権限は原則として「読出し専用(Read-only)」に限定することが強く推奨されています。したがって正解はエです。 監査人のアクセスやテスト行為であっても、不正や誤操作の防止・責任追跡性のためログ取得の対象とする必要があります。 アクセス要求については、現場の運用担当者だけでなく適切な権限を持つ管理責任者(データ管理者等)の合意・承認を得る必要があります。 可用性に影響を与える懸念があるテストは、業務時間外やシステム負荷の低い時間帯に実施すべきです。

JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)では,運用システムに対する監査活動の影響を最小限にするための管理策及び実施の手引を定めている。その中で守ることが最も望ましいとされている事項はどれか。

出典令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問7
ア
運用システムに影響を与えないよう,監査におけるテストについては,アクセス監視ログ取得の対象外とする。
イ
運用システムや当該システム上のデータへのアクセスに関する監査要求事項については,当該システムの運用担当者に限定して同意を得る。
ウ
監査におけるテストがシステムの可用性に影響する可能性がある場合は,当該テストを営業時間内に実施する。
エ
監査におけるテストでソフトウェア及びデータにアクセスする場合は,読出し専用のアクセスに限定する。