平成30年度秋季解答

問題56

ITサービスマネジメントにおけるサービスレベル管理プロセスの活動はどれか。

ア	ITサービスの提供に必要な予算に対して、適切な資金を確保する。
イ	現在の資源の調整と最適化、及び将来の資源要件に関する予測を記載した計画を作成する。
ウ	災害や障害などで事業が中断しても、要求されたサービス機能を合意された期間内に確実に復旧できるように、事業影響度の評価や復旧優先順位を明確にする。
エ	提供するITサービス及びサービス目標を特定し、サービス提供者が顧客との間で合意文書を交わす。

解答：エ

＜解説＞

サービス・レベル管理プロセス(SLM：Service Level Management)とは、ITサービスや通信サービスの品質や成果を、提供者と利用者が定期的・定量的に評価し、コストやニーズに最適なサービスを維持する仕組みをいう。

情報システムやネットワークの利用者に対するヘルプデスク、障害対応、保守などの運用管理サービスのほか、アプリケーションを使った情報処理サービスなどが対象になる。

サービス・レベル・マネジメント（SLM）では、サービスの提供者と利用者が、サービスの仕様・品質や成果に関する評価基準、システム構成やユーザー情報を決定する。提供者は評価基準に基づいて定期的にサービスの品質や成果を利用者に報告し、両者が問題点を協議するための目標品質を設定し、その保証である「SLA（Service Level Agreement）」を契約書に明文化し、情報システム部門と利用部門の間、ITベンダーと利用企業の間などで契約を交わす。

ア	×	財務管理プロセスの活動である。
イ	×	キャパシティ管理プロセスの活動である。
ウ	×	ITサービス継続性管理プロセスの活動である。
エ	○	サービス・レベル管理プロセス(SLM：Service Level Management)の活動である。

問題へ

問題57

ITIL 2011 editionに示されるサービスデスク組織とその構造のうち“フォロー・ザ・サン”の説明として、最も適切なものはどれか。

ア	サービスデスクを1拠点又は少数の場所に集中することによって、サービス要員を効率的に配置したり、大量のコールに対応したりすることができる。
イ	サービスデスクを利用者の近くに配置することによって、言語や文化の異なる利用者への対応、専門要員によるVIP対応などができる。
ウ	サービス要員が複数の地域や部門に分散していても、通信技術を利用することによて、単一のサービスデスクがあるようにサービスを提供することができる。
エ	時差がある分散拠点にサービスデスクを配置し、各サービスデスクが連携してサービスを提供することによって、24時間対応のサービスが提供できる。

解答：エ

＜解説＞

フォロー・ザ・サン（follow the sun）とは、時差のある複数の地域に拠点を置き、24時間体制で業務やサービスを継続することである。

ア	×	サービスデスクを1拠点又は少数の場所に集中することによって、サービス要員を効率的に配置したり、大量のコールに対応したりすることができるのは中央サービスデスクである。
イ	×	サービスデスクを利用者の近くに配置することによって、言語や文化の異なる利用者への対応、専門要員によるVIP対応などができるのは、ローあるサービスデスクである。
ウ	×	サービス要員が複数の地域や部門に分散していても、通信技術を利用することによて、単一のサービスデスクがあるようにサービスを提供することができるのは、バーチャルサービスデスクである。
エ	〇	時差がある分散拠点にサービスデスクを配置し、各サービスデスクが連携してサービスを提供することによって、24時間対応のサービスが提供できるのはフォロー・ザ・サンである。

問題へ

問題58

システム監査における、サンプリング(試査)に関わる用語のうち、適切なものはどれか。

ア	許容逸脱率とは、受け入れることのできる所定の内部統制からの逸脱率であり、監査人がサンプリングの件数を決めるときに用いる指標である。
イ	サンプリングリスクとは、固有リスクと統制リスクを掛け合わせた結果である。
ウ	統計的サンプリングとは、特定の種類の例外の取引を全部抽出する方法である。
エ	母集団とは、評価対象から結論を導き出すために必要なデータのうち、リスクの高いデータの集合である。

解答：ア

＜解説＞

サンプリング(試査)とは、監査の対象となる母集団から一部の項目を抽出して監査を行うことである。

監査を実施するには、全てのデータを検証することは不可能であり、限られた時間や資源の中で検証を行うためにサンプリング(試査)を行う。

ア	〇	許容逸脱率とは、受け入れることのできる所定の内部統制からの逸脱率であり、監査人がサンプリングの件数を決めるときに用いる指標である。
イ	×	サンプリングリスクとは、抽出したサンプルから導き出された結論が母集団全体を反映していないことにより、誤った結論を導く可能性のあるリスクである。
ウ	×	統計的サンプリングとは、母集団の数や誤りの推定数などを統計学的に算出してサンプル数を決定する手法。母集団の一部を抽出して評価することで、母集団全体の状況を把握する。
エ	×	監査における母集団とは、監査人がサンプルを抽出して結論を導き出そうとする項目全体を指す。

問題へ

問題59

システム監査においてペネトレーションテストが最も適合するチェックポイントはどれか。

ア	オフィスへの入退に、不正防止及び機密保護の物理的な対策が講じられているか。
イ	データ入力が漏れがなく、重複なく正確に行われているか。
ウ	ネットワークの負荷状況の推移が記録、分析されているか。
エ	ネットワークへのアクセスコントロールが有効に機能しているか。

解答：エ

＜解説＞

ペネトレーションテストとは、ネットワークに接続されているコンピュータシステムに対し、実際に既知の技術を用いて侵入を試みることで、システムに脆弱性がないかどうかテストする手法のこと。侵入実験または侵入テストとも言われる。このテストによって、システムに脆弱性がないかどうか　や　アクセス制御が適切に施されているかを確認することができる。

したがって、エが正解である。

問題へ

問題60

情報システムの可監査性を説明したものはどれか。

ア	コントロールの有効性を監査できるように、情報システムが設計・運用されていること
イ	システム監査人が、監査の目的に合致した有効な手続きを行える能力をもっていること
ウ	情報システムから入手した監査証拠の十分性と監査報告書の完成度が保たれていること
エ	情報システム部門の積極的な協力がえられること

解答：ア

＜解説＞

可監査性とは、処理の正当性や内部統制を効果的に監査またはレビューできるように情報システムが設計・運用されていることである。

つまり、可監査性とは、効果的に監査ができるように情報システムが設計・運用されており監査が実行可能な状態であることを指す。

ア	○	可監査性とは、効果的に監査ができるように情報システムが設計・運用されており監査が実行可能な状態であることを指す。
イ	×	システム監査人の能力などの資質は関係ない。
ウ	×	監査を行った結果の性質に関する表現ではない。
エ	×	情報システム部門の協力が必要なことは間違いないが、情報システムの可監査性とは関係ない。

問題へ