正解：ウ
各選択肢の解説
ア残っていた3件のアカウントを削除し、指摘への対応が完了したと監査人に報告する。
誤り。目の前の3件を消すのは必要ですが、それは見つかった事象の後始末にすぎません。 削除漏れが起きた原因である「退職と削除がつながっていない」仕組みが残るので、 次の退職者で同じことが起きます。改善提案が求めているのは再発の防止です。
イ退職手続と連動させる仕組みの設計と導入を、指摘した監査人に依頼する。
誤り。監査人が改善策を設計・導入すると、次の監査で自分の作った仕組みを自分で評価することになり、 独立性と客観性が損なわれます。改善を実施する責任は監査を受けた側にあり、 監査人はフォローアップでその状況を確かめる立場です。
ウ3件を削除したうえで、仕組みの導入を期限と責任者を決めた改善計画にして実施する。
正解。見つかった事象の是正と、原因をなくす仕組みづくりの両方に手を打ちます。 期限と責任者を決めた改善計画にしておけば、監査人がフォローアップで 実施状況を確かめるときにも、進み具合を示せます。
エ報告書を部門内に回覧し、退職者が出たら各自で削除を忘れないよう注意を促す。
誤り。注意喚起は人の記憶と注意力に頼る対策で、削除漏れを起こした状態とほとんど変わりません。 改善提案は「仕組みを設けること」を求めているので、忘れても漏れない手順や連携を作る必要があります。 残っている3件も手付かずのままです。
理解を深めるために
指摘を受けたら「今ある穴」と「穴ができる理由」の両方をふさぐ
雨漏りを指摘されたとき、床の水を拭くだけでは次の雨でまた濡れます。水を拭き（是正）、 屋根の穴をふさぐ（再発防止）の両方が要ります。監査の指摘への対応も同じで、 見つかった事象の是正と、原因をなくす改善を組み合わせます。
監査の後の流れと、それぞれの役割
システム監査は、予備調査で全体をつかみ、本調査で監査証拠を集め、結論を監査報告書にまとめて終わりではありません。 報告書に改善提案があれば、その後の流れがあります。
- 監査を受けた部門: 改善提案を受けて改善計画（何を・誰が・いつまでに）を立て、実施する
- 監査人: 改善計画とその実施状況の情報を集め、適切な措置が適時に講じられているかを確かめる（フォローアップ）
経済産業省のシステム監査基準でも、改善提案があれば監査人はその実施状況をモニタリングすることが求められています。 一方で、改善そのものを監査人が行うと独立性が失われるため、実施は監査を受けた側の仕事です。 情報セキュリティ担当者は、計画を立てるだけでなく、実施の記録を残して進み具合を示せるようにしておきます。
混同しやすいものとの違い
| 対応 | 何が足りないか |
|---|---|
| 是正＋期限と責任者を決めた改善計画の実施 | 足りないものはない |
| 見つかった3件の削除だけ | 原因が残り、再発を防げない |
| 改善策の設計・導入を監査人に依頼 | 監査人の独立性が損なわれる |
| 部門内での注意喚起 | 人の注意頼みで仕組みにならず、3件も残る |
「事象の是正か、原因の除去か」「改善を実施するのは誰か」の2点で選択肢を見分けます。