平成23年度 秋期 システム監査技術者試験 午前II 問5

【解説】

ア: システム仕様書の承認ルールを閲覧して、パスワード管理方針に基づいた設計が行われていることを確認する。
誤り。システムの仕様書や設計方針を確認する行為は、「整備状況の評価」に該当します。運用の実態ではなく、設計段階での管理を評価するものです。

イ: システム部門の責任者への質問によって、パスワード管理に関する会社の方針を確認する。
誤り。会社の方針を確認する行為は、パスワード管理の整備状況（ルールやポリシーの確認）に関するものであり、実際の運用状況の評価には当たりません。

ウ: パスワード管理マニュアルを閲覧して、パスワード設定ルールを確認する。
誤り。管理マニュアルの内容を確認する行為は、運用状況ではなく、整備状況の評価に該当します。

エ: パスワードを管理しているファイルから抽出したサンプルについて、パスワードの設定状況を確認する。
正しい。実際の運用において、パスワードが適切に設定・管理されているかを確認する行為は、運用状況の評価に該当します。運用評価では、ルールの存在だけでなく、実際にそれが遵守されているかを検証することが求められます。