解説

情報システムの監査において、監査人が「指摘事項」として監査報告書に記載すべきことは「内部統制の不備・問題点」です。選択肢cの「インシデントの種類や発生箇所、影響度合いに関係なく、すべてのインシデントを同じ手順で対応している」は、インシデントの深刻度・種類に応じた優先順位付けや手順の分類がされていないことを示しており、インシデント管理の不備として指摘すべき事項です。適切なインシデント管理では、重大インシデント（サービス停止・情報漏洩等）と軽微なインシデントを分類し、それぞれに応じた対応手順・エスカレーションルートを定めることが求められます。

なぜ他の選択肢は違うのか

選択肢 ア

「インシデント対応手順が作成され、関係者への周知が図られている」は適切な状態であり、指摘事項ではありません。対応手順の整備と周知はインシデント管理の基本要件が満たされていることを示します。

選択肢 イ

「インシデントによってデータベースが被害を受けた場合のデータ復旧手順が定められている」も適切な状態です。DBのデータ復旧手順が整備されていることは、事業継続・障害回復管理として望ましい状態です。

選択肢 エ

「全てのインシデントについて、インシデント記録を残している」も適切な状態です。全インシデントの記録を保持することは、問題管理・再発防止・監査証跡として重要です。選択肢dは管理が行き届いていることを示すため、指摘事項にはなりません。

解くときのポイント

監査での「指摘事項」＝内部統制の不備・望ましくない状態。「すべてを同じ手順で」は優先順位付け・重要度分類がない不備。選択肢が「整備されている・記録している・手順がある」は良い状態なので指摘不要。「区別なし・一律同じ」は不備のサイン。