システム監査基準の監査技法をやさしく整理【SG試験】

まず結論

システム監査基準の監査技法は、システム監査人が、情報システムの管理や統制が適切に行われているかを確認するための調べ方です。

SG試験では、監査技法の名前を暗記するよりも、何を使って確認する技法かを切り分けることが大切です。

特に、次のような観点で問われることが多いです。

人に聞くのか
書類や記録を見るのか
業務の流れを追跡するのか
システムに組み込んで証跡を取るのか
実際に侵入を試すのか

選択肢では「データの生成から入力、処理、出力、活用までを追跡する」と書かれていたら、ウォークスルー法を考えます。

直感的な説明

監査技法は、現場の状態を確認するための「調べ方の道具箱」と考えると分かりやすいです。

たとえば、会社の経費精算システムを監査するとします。

関係者に話を聞くなら、インタビュー法です。
マニュアルや申請記録を見るなら、ドキュメントレビュー法です。
申請データが作られてから承認、処理、出力されるまでを追いかけるなら、ウォークスルー法です。
本番プログラムに監査用の仕組みを入れて記録を取るなら、監査モジュール法です。
外部からの攻撃に耐えられるか試すなら、ペネトレーションテスト法です。

つまり、監査技法は「何を確認したいか」によって使い分けます。

SG試験では、技法名だけを見て選ぶのではなく、確認対象が人・文書・流れ・システム内部・侵入耐性のどれかを見ます。

定義・仕組み

システム監査では、監査人が情報システムに関するリスクや管理状況を確認し、証拠に基づいて評価します。

経済産業省は、システム監査人の行為規範や監査手続の規則として「システム監査基準」を、監査人の判断の尺度として「システム管理基準」を公表しています。公式情報は、経済産業省のシステム監査制度についてで確認できます。

代表的な監査技法は、次のように整理できます。

監査技法	何をする技法か	選択肢を切るポイント
インタビュー法	関係者に質問して、実態や認識を確認する	「口頭で問い合わせる」「聞き取り」ならこれ
チェックリスト法	確認項目に沿って、漏れなく点検する	「一覧表」「確認項目」ならこれ
ドキュメントレビュー法	規程、手順書、記録、設計書などを確認する	「文書」「記録」「資料を確認」ならこれ
突合・照合法	複数の資料や記録を照らし合わせる	「一致しているか」「照合」ならこれ
現地調査法	実際の現場に行き、設備や運用状況を確認する	「現場で確認」「実地確認」ならこれ
テストデータ法	テスト用データを入力し、処理結果を確認する	「テストデータを流す」ならこれ
ウォークスルー法	取引やデータの流れを、発生から処理・出力まで追跡する	「生成から入力、処理、出力、活用まで追跡」ならこれ
監査モジュール法	本番プログラムに監査用モジュールを組み込み、条件に合うデータを記録する	「本番プログラムに組み込む」「監査人用ファイル」ならこれ
ペネトレーションテスト法	攻撃者のように侵入を試し、防御状況を確認する	「侵入を試みる」「アクセス権限又は無権限」ならこれ

ここで大事なのは、監査技法はどれも「証拠を集めるための方法」だという点です。

ただし、集め方が違います。
人から集めるのか、文書から集めるのか、システムの流れから集めるのかを区別します。

どんな場面で使う？

監査技法は、情報システムの管理状況を確認したい場面で使います。

たとえば、次のような場面です。

アクセス権限の申請・承認が適切かを確認する
バックアップ運用が手順どおりに行われているかを確認する
委託先が契約どおりに運用しているかを確認する
重要データの入力から出力までの流れを確認する
不正アクセス対策が実際に機能しているかを確認する

SG試験では、業務の一部分だけを見るのか、業務の流れ全体を追うのかで選択肢を切ります。

たとえば、あるデータが発生してから、入力、処理、出力、活用されるまでを追うならウォークスルー法です。

一方で、システム監査人が指定した条件に合うデータを本番中に記録させるなら監査モジュール法です。

また、実際に攻撃者の立場で侵入を試すならペネトレーションテスト法です。
これは、通常の業務処理の流れを追う技法ではありません。

よくある誤解・混同

SG試験では、似た技法を混同させる選択肢が出やすいです。

特に注意したいのは、次の切り分けです。

迷いやすい組合せ	切り分け方
インタビュー法とウォークスルー法	人に聞くならインタビュー法。業務やデータの流れを追うならウォークスルー法。
ウォークスルー法と監査モジュール法	流れを追跡するならウォークスルー法。本番プログラムに監査用部品を組み込むなら監査モジュール法。
テストデータ法と監査モジュール法	テスト用データを入れるならテストデータ法。本番データの中から条件に合うものを記録するなら監査モジュール法。
現地調査法とドキュメントレビュー法	現場を見るなら現地調査法。文書や記録を見るならドキュメントレビュー法。
ペネトレーションテスト法とウォークスルー法	侵入を試すならペネトレーションテスト法。業務処理の流れを追うならウォークスルー法。

よくある誤解は、「監査だから全部インタビューで確認する」と考えてしまうことです。

インタビュー法は、関係者から説明を聞く技法です。
しかし、聞いた内容が正しいかを確認するには、文書、ログ、記録、現場、テスト結果などの証拠も必要になります。

また、ウォークスルー法は「歩いて現場を見る」という意味ではありません。
SG試験では、データや取引の流れを最初から最後まで追う技法として押さえます。

選択肢では、次の言葉が出たら注意します。

「口頭で問い合わせる」→ インタビュー法
「書面上又は実際に追跡する」→ ウォークスルー法
「本番プログラムに組み込む」→ 監査モジュール法
「侵入を試みる」→ ペネトレーションテスト法
「文書・記録を確認する」→ ドキュメントレビュー法

まとめ（試験直前用）

監査技法は、システム監査人が証拠を集めるための調べ方。
人に聞くならインタビュー法、文書を見るならドキュメントレビュー法。
データの発生から入力、処理、出力、活用まで追うならウォークスルー法。
本番プログラムに監査用の仕組みを組み込むなら監査モジュール法。
侵入を試して守られているか確認するならペネトレーションテスト法。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る