攻略
CISAは「監査人目線」で解く
4 min read
CISAの問題では、IT担当者やセキュリティ担当者として正しい行動が、監査人としては不正解になることがよくあります。監査人は独立した立場で、証拠にもとづいて評価し、報告・提言する役割です。この立ち位置を意識するだけで、選択肢をかなり絞り込めます。
監査人目線の5つの原則
- 独立性を保つ：監査対象の業務を自分で設計・運用したり、意思決定に加わったりしません
- 証拠にもとづく：聞き取りだけで結論を出さず、記録の確認や再実施などで裏付けを取ります。証拠の信頼性も意識します
- 直さずに報告・提言する：問題を見つけたら、自分で修正するのではなく、発見事項として報告し、改善策を提言します。対応するのは経営者・管理者です
- リスクに基づいて計画する：限られた時間と人員は、リスクの高い領域に重点的に配分します
- 適切な相手に報告する：重要な発見事項は、監査委員会や適切な階層の経営陣に伝えます
よく出る問われ方
| キーワード | 考え方のコツ |
|---|---|
| 最大の懸念（GREATEST concern） | 組織にとって影響が最も大きいリスクを選ぶ。手続きの不備そのものより、それによって何が起こりうるかで比べる |
| 最初に（FIRST） | 結論や報告の前に、まず事実を確かめる。監査では「理解する → 評価する → 検証する → 報告する」の順を意識する |
| 最も適切な（BEST） | 監査人の役割の範囲内で、最も信頼できる証拠や最も効果的な提言を選ぶ |
考え方の例（本記事のオリジナル例です。実際の試験問題ではありません）
例1：監査中に、退職者のアカウントが残っているのを見つけた。→ 監査人が自分でアカウントを削除するのではなく、件数や退職後にログインがなかったかなどの影響を確かめたうえで発見事項として記録し、管理者に報告して是正を求めます。
例2：担当者から「バックアップは毎日成功している」と説明を受けた。→ 説明だけで結論を出さず、実行ログや復元テストの記録を確認して裏付けを取ります。
例3：手順書が古いことと、本番環境を開発者が自由に変更できることの両方を見つけた。→ どちらも指摘事項ですが、より大きな懸念は、不正な変更や誤った変更が本番環境に直接入るおそれがある後者です。
迷ったら「この選択肢は監査人の独立性を損なわないか」「結論を出す前に十分な証拠があるか」の2点で見直しましょう。管理者がやるべき対応を監査人が実行する選択肢は、多くの場合誤りです。
マルテクテクでは、解説の「実務メモ」に監査実務での考え方をまとめています。正解した問題でも読んでおくと、監査人目線が身につきやすくなります。