ISCは暗記だけのIT科目ではありません。情報システムを安全に運用し、その統制が設計・運用されているかを説明できることが中心です。用語を個別に覚える前に、リスク、統制、証拠のつながりを作ります。
- ITガバナンス、セキュリティ、SOCの3本柱で整理する
- 統制は目的・リスク・証拠をセットで覚える
- Type IとType II、SOC 1とSOC 2を比較できるようにする
- 公式Blueprintを基準に学習範囲を定期的に確認する
読んだ知識を、次の学習へ。
会員情報を確認しています。
1｜ISCで問われる判断を先に知る
ISCでは、情報システムとデータに関するリスクを識別し、適切な統制を選び、その有効性を評価する力が問われます。単語の定義だけでなく、ある状況でどの統制が予防・発見・是正に役立つかを説明できる状態を目指します。
最初にAICPAのBlueprintでArea、Group、Topic、Task statementを確認し、教材の章立てと対応させます。
2｜IT統制を「全般統制」と「業務処理統制」で分ける
アクセス管理、変更管理、IT運用は、複数システムを支えるIT全般統制です。一方、入力チェック、処理の完全性、出力照合は個々の業務処理に関する統制です。
問題では統制の名称より、守りたいアサーションと統制のタイミングを確認します。職務分掌、最小権限、定期的なアクセスレビューを具体例と結び付けます。
- 予防統制：未承認アクセスや不適切な変更を事前に防ぐ
- 発見統制：ログ監視や照合で異常を見つける
- 是正統制：バックアップ復元やインシデント対応で影響を抑える
3｜セキュリティは脅威から復旧まで一本の流れで学ぶ
フィッシング、マルウェア、内部不正などの脅威から、認証、暗号化、監視、対応、復旧までを時系列で整理します。RTOは復旧までの目標時間、RPOは許容するデータ損失の時間幅です。
NIST Cybersecurity Framework 2.0のGovern、Identify、Protect、Detect、Respond、Recoverを使うと、統制の役割を配置しやすくなります。
4｜SOC報告書は利用者と目的から見分ける
SOC 1は主に利用会社の財務報告に関連する統制、SOC 2はTrust Services Criteriaに基づくセキュリティ等の統制を扱います。Type Iは特定日時点の設計、Type IIは一定期間の運用有効性まで対象にします。
利用会社側では、受託会社の統制だけで目的が達成されるとは限りません。Complementary User Entity Controlsが自社で実施されているかも確認します。
- 報告書の対象期間と対象システム
- 受託会社監査人の意見と例外事項
- 利用会社相補統制
- サブサービス組織の扱い
5｜MCQは「最も直接的な統制」を選ぶ
選択肢がすべて有用に見えるときは、設問のリスクを最も直接軽減する統制を選びます。バックアップは可用性には役立ちますが、未承認変更を防ぐ中心統制ではありません。
誤答は用語帳へ移すだけでなく、リスク、正解統制、他の選択肢が弱い理由の3点で記録します。
受験前チェックリスト
最後はBlueprintのTask statementを見て、自分の言葉で説明または判断できるか確認します。
- IT全般統制と業務処理統制を区別できる
- 認証・認可・暗号化・ハッシュ化の役割を説明できる
- RTOとRPO、インシデント対応の順序を説明できる
- SOC 1・SOC 2、Type I・Type IIを比較できる
公式情報・参考資料
制度や出題範囲は変更される場合があります。最終確認には以下の公式情報をご利用ください。
この記事を、解ける知識に変える。
同じ論点を短く復習し、問題で使い、Cheat Sheetへ戻る学習パスです。