JIS Q 27002における運用システム監査時の影響最小化

JIS Q 27002:2024の管理策において、実稼働中の運用システムに対する監査活動が業務やデータに悪影響を及ぼさないよう、テスト時のソフトウェアやデータへのアクセスは「読取り専用（Read-only）」に限定することが望ましいと定められています。したがって正解はエです。 監査人のアクセスであっても、不正や誤操作の抑止・追跡のために監視や監査証跡（ログ取得）の対象とする必要があります。 運用担当者だけでなく、適切な権限をもつデータ管理者（システムオーナー・情報資産所有者）の承認・合意を得る必要があります。 可用性低下や障害リスクを回避するため、営業時間外やシステム負荷の低い時間帯に実施すべきです。

JIS Q 27002:2024（情報セキュリティ管理策）では，運用システムに対する監査活動の影響を最小限にするための管理策及び実施の手引を定めている。その中で守ることが望ましい事項として，最も適切なものはどれか。

出典令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問6
ア
運用システムに影響を与えないよう，監査におけるテストを目的としたアクセスについては，監視やログ取得の対象外とする。
イ
運用システムや当該システム上のデータへのアクセスに関する監査要求事項については，当該システムの運用担当者に限定して同意を得る。
ウ
監査におけるテストがシステムの可用性に影響する可能性がある場合は，当該テストを営業時間内に実施する。
エ
監査におけるテストでソフトウェア及びデータにアクセスする場合は，読取り専用のアクセスに限定する。