AP26 システム監査・内部統制・セキュリティリスク・インシデントハンドリング
応用情報技術者試験の科目Aに向けて、システム監査の独立性と監査証拠、内部統制の6要素と職務分掌、リスク対応とALEの計算、セキュリティインシデント対応と証拠保全を、事例とオリジナル問題5問で学びます。
AP科目A・第26回 · 2026年度・シラバスVer.7.2に基づく独立した学習資料です。IPAとの提携はなく、合格を保証しません。 シリーズ一覧を見る
2026年基準・合格保証なし
学習インデックス
- システム監査の目的と流れ
- 内部統制とIT統制
- セキュリティのリスクアセスメントとリスク対応
- セキュリティインシデントと証拠保全
- オリジナル四肢択一問題5問
- 出典・範囲・免責
共通用語表
次の基準表は3言語版でバイト単位まで同一である。
| 日本語 | English | 한국어 |
|---|---|---|
| システム監査 | system audit | 시스템 감사 |
| 独立性 | independence | 독립성 |
| 客観性 | objectivity | 객관성 |
| 監査証拠 | audit evidence | 감사 증거 |
| 監査調書 | audit working papers | 감사 조서 |
| 内部統制 | internal control | 내부통제 |
| 職務分掌 | segregation of duties | 직무 분장 |
| リスクアセスメント | risk assessment | 리스크 평가 |
| リスク対応 | risk treatment | 리스크 대응 |
| 残留リスク | residual risk | 잔여 리스크 |
| インシデントハンドリング | incident handling | 인시던트 처리 |
| トリアージ | triage | 트리아지 |
| 証拠保全 | evidence preservation | 증거 보전 |
1. システム監査：経営を代行しない独立した評価
システム監査は、情報システムと関連統制が組織目的に照らして有効かを、十分かつ適切な監査証拠に基づき独立・客観的に評価し、改善に役立てる。標準的な流れは、リスクベースの監査計画 → 監査手続の実施 → 十分かつ適切な証拠の入手 → 手続・証拠・判断・結論を監査調書に記録 → 報告 → フォローアップである。予備調査で対象とリスクを絞り、本調査で質問、観察、閲覧、再実施、サンプリング、必要に応じてCAATを組み合わせる。
独立性には、監査機能の組織上の独立性と、監査人個人の精神的・実質的独立性がある。被監査部門の指揮下では範囲や報告が歪むおそれがある。客観性とは、偏見や利害を排し検証可能な事実で判断する姿勢である。自分が設計・運用した対象を自ら監査してはならない。監査人には能力、専門家としての正当な注意、守秘義務も必要であり、入手情報を目的外に開示・利用しない。
証拠の十分性は量と範囲、適切性は関連性と信頼性を意味する。独立した外部源の原本、監査人の直接観察・再実施、信頼できる統制下で生成された記録は、裏付けのない口頭説明より一般に強い。ただし一つの情報源を盲信せず、承認記録、設定、ログ、面談を相互に照合する。矛盾時は追加手続を行い判断を調書化する。
是正措置の責任は経営者にある。統制の設計・運用、資源配分、リスク受容まで監査人が決めると自己レビューの脅威になる。監査人は発見事項と勧告を報告し、経営者の改善計画、期限、リスク受容を評価し、フォローアップで実施状況と有効性を確認する。
2. 内部統制：経営者自身の仕組み
内部統制は監査人の制度ではなく、経営者が組織目的を達成するために整備・運用する仕組みである。六つの基本的要素は、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応である。倫理と責任体系を整え、リスクを識別・評価・対応し、承認・照合・アクセス制御を実施し、必要な情報を伝え、日常的又は独立的評価で稼働を監視し、ITへの依存と変化に対応する。
IT全般統制は、ID・アクセス、変更、開発と運用の分離、バックアップ、運用、物理セキュリティなど複数システムの基盤を対象とする。IT業務処理統制（アプリケーション統制）は、特定取引の入力完全性、計算正確性、処理承認、出力照合を対象とする。全般統制が弱いと業務処理統制への継続的な信頼も損なわれる。
職務分掌は、申請、承認、実行、記録、レビューなど相反する職務を一人に集中させない統制である。人員上の制約があれば、独立した事後レビュー、ログ警告、管理者承認などの代替統制を置く。予防的統制は発生を防止（最小権限、事前承認）、発見的統制は発生を検知（照合、警告）、是正的統制は復旧と再発防止（バックアップ復元、設定修正）を担う。
内部統制が与えるのは合理的保証であり絶対保証ではない。人的誤り、共謀、経営者による無視、環境変化、費用対効果という固有の限界がある。文書の有無だけでなく設計・運用の有効性と継続的監視を評価する。
3. リスクアセスメントとリスク対応
流れは識別 → 分析 → 評価 → 対応である。資産、脅威、脆弱性、既存統制を識別し、発生可能性と影響を定性又は定量分析する。結果を事前の受容基準と比較して優先順位を評価する。対応は回避、低減、共有（保険や契約など）、保有から選ぶ。各リスクと措置にオーナー、期限、指標を割り当てる。
検算可能な例として、単一損失額4,000,000円、年間発生率0.25ならALEは 4,000,000 × 0.25 = 1,000,000円。年300,000円の統制で発生率が0.05になると残留ALEは 4,000,000 × 0.05 = 200,000円。総低減額は 800,000円、年間純便益は 800,000 − 300,000 = 500,000円である。ただし法的義務、安全、評判などの非財務要因を検討し、権限者が残留リスクを受容する必要がある。
リスク登録簿には、説明、原因、資産、可能性・影響、既存統制、対応、オーナー、期限、残留リスク、受容決定を記録する。重要な変更と受容は利害関係者へ伝達し、定期的に再評価する。
4. セキュリティのインシデントハンドリング
架空事例（個人データなし）：社内ビルドサーバで深夜に異常な管理者ログインと未承認の実行ファイルが検知された。
- 検知・報告：時刻、アカウント、資産、最初の観察を記録し、所定の経路へ連絡する。
- トリアージと範囲特定：重大度、対象ホスト・アカウント、時間範囲、拡散兆候を確認し、推測と事実を区別する。
- 封じ込めと証拠保全：拡散を制限しつつ、承認済み手順でメモリ、プロセス、通信など揮発性資料を先に取得し、次にディスクイメージやログなど不揮発性資料を保全する。原本を変更せず、ハッシュ、採取者、時刻、引渡しを記録してchain of custodyを維持する。
- 根絶：悪性ファイル、永続化手段、侵害アカウントを除去し、侵入原因を是正する。
- 復旧・監視：検証した状態で段階的にサービスを復旧し、再侵入指標を監視する。
- 報告・公表：法令、契約、社内規程に基づく当局・顧客・経営者への報告や公表を判断・記録する。
- 教訓：根本原因と対応の長所・欠陥をレビューし、統制、手順書、教育、リスク登録簿を更新する。
証拠を削除・改ざんしてはならず、性急な再起動で揮発性証拠を失ってもならない。AP26のセキュリティインシデントは、攻撃範囲、封じ込め、フォレンジック証拠、報告、再発防止が中心である。AP25のサービス管理インシデントは正常サービスの迅速な復旧を優先するため、目的と判断基準が異なる。
5. オリジナル問題
問1 — 監査人の独立性
監査人の独立性と客観性を最もよく保つ体制はどれか。
- ア：監査対象システムの設計者が単独で監査する。
- イ：運用部門から分離された監査人が評価し、取締役会の監査機関へ報告する。
- ウ：運用責任者が範囲と結論を最終的に書き換える。
- エ：監査人が是正措置を運用し、後でその有効性を監査する。
正解：イ。アは自己レビュー、イは組織上の分離と適切な報告経路を確保する。ウは干渉を許し、エは経営責任を担った後に自己レビューする。
問2 — 十分かつ適切な証拠
アクセス制御の監査結論を最も強く裏付ける方法はどれか。
- ア：担当者の口頭説明だけを記録する。
- イ：情報源の信頼性を確認せず標本数だけ増やす。
- ウ：承認原本、設定、ログを照合し、一部取引を再実施する。
- エ：最新だが無関係なセキュリティ記事を添付する。
正解：ウ。アには裏付けがなく、イは量だけで適切性を補えない。ウは関連性・信頼性のある資料を独立手続で照合し、エは監査目的と無関係である。
問3 — 職務分掌
支払業務の内部統制を最も強化する設計はどれか。
- ア：取引先登録、支払申請、承認、照合の権限を分離する。
- イ：一人に全権限を与え、パスワードだけ頻繁に変更する。
- ウ：処理を速めるため承認を廃止する。
- エ：支払担当者が事後に自分の取引だけをレビューする。
正解：ア。アは相反職務を分離する。イは権限集中を解消せず、ウは予防統制を除去し、エの自己レビューは独立した発見統制ではない。
問4 — ALEと統制便益
単一損失4,000,000円、年間発生率0.25である。年300,000円の統制で発生率が0.05になる。年間純便益はいくらか。
- ア：200,000円
- イ：300,000円
- ウ：800,000円
- エ：500,000円
正解：エ。アは残留ALE、イは統制費用、ウは総損失低減額である。エは (1,000,000−200,000)−300,000=500,000円 である。
問5 — 証拠保全
侵害が疑われるサーバを封じ込める際、最も適切な行動はどれか。
- ア：全ログと疑わしいファイルを直ちに削除する。
- イ：拡散を制限しつつ揮発性資料を先に採取し、ハッシュと引渡しを記録する。
- ウ：証拠記録なしに初期化する。
- エ：範囲確認前に確定的な原因を外部発表する。
正解：イ。アとウは証拠を破壊する。イは封じ込め、揮発性の優先、chain of custodyを両立する。エは検証と報告手続を飛ばす。
正解順：[2, 3, 1, 4, 2] = [イ, ウ, ア, エ, イ]。全問を独自作成し、IPA過去問題の転載・翻訳・改変はしていない。使用した過去問題：なし。
6. 公式出典・範囲・免責
- IPA『応用情報技術者試験（レベル3）シラバス Ver.7.2』：PDF 56／印刷フッター52、PDF 57／フッター53、PDF 59／フッター55、PDF 98／フッター94、PDF 99／フッター95、PDF 100／フッター96、PDF 101／フッター97、PDF 102／フッター98。
- IPA「現在のシラバス・改訂概要」及び「改訂関連情報」
- 出典確認日：2026-10-21。PDFページ番号と印刷フッターのページ番号は別の体系である。
本資料はIPAとの提携又はIPAの推奨を示すものではなく、合格を保証しない。個人データを含まない。AP26の範囲は監査、内部統制、セキュリティ管理、リスク、セキュリティインシデント対応までである。AP27はシステム戦略、業務プロセス、調達を扱う。第三者解説は使用していない。