説明/参照:
送信者の秘密鍵はデジタル署名を計算するために使用される
デジタル署名は、整合性、信頼性、否認防止を実現するために使用されます。デジタル署名では、送信者の秘密鍵を使用してメッセージのメッセージ ダイジェスト (署名) を暗号化し、受信者は送信者の公開鍵を使用して同じメッセージを復号化し、署名を検証する必要があります。
デジタル署名 (デジタル証明書と混同しないでください) は、メッセージの送信者または文書の署名者の身元を認証し、送信されたメッセージまたは文書の元のコンテンツが変更されていないことを確認するために使用できる電子署名です。デジタル署名は簡単に転送でき、他の人が模倣することはできず、自動的にタイムスタンプを付けることができます。署名された元のメッセージが届いたことを保証できるため、送信者は後で簡単にそれを否認できません。
デジタル署名は、暗号化されているかどうかに関係なく、あらゆる種類のメッセージに使用できます。これにより、受信者は送信者の身元とメッセージがそのまま届いたことを確認できます。デジタル証明書には証明書発行機関のデジタル署名が含まれているため、誰でも証明書が本物であることを確認できます。
仕組み
契約書の草稿を別の町にいる弁護士に送ろうとしているとします。弁護士に、その草稿は自分が送ったものから変更されておらず、本当に自分から送られたものであるということを保証したいとします。
契約書（短いものです！）をコピーして、電子メールのメモに貼り付けます。
特別なソフトウェアを使用して、契約のメッセージ ハッシュ (数学的要約) を取得します。
次に、公開鍵と秘密鍵の認証局から以前に取得した秘密鍵を使用してハッシュを暗号化します。
暗号化されたハッシュは、メッセージのデジタル署名になります。(メッセージを送信するたびに異なることに注意してください。)
一方、弁護士は次のメッセージを受け取ります。
メッセージが無傷であなたから送られたものであることを確認するために、弁護士は受信したメッセージをハッシュ化します。
その後、弁護士はあなたの公開鍵を使用してメッセージのハッシュまたは要約を復号化します。
ハッシュが一致する場合、受信したメッセージは有効です。
通信にデジタル署名を適用する一般的な理由を以下に示します。
認証
メッセージには、メッセージを送信したエンティティに関する情報が含まれることがよくありますが、その情報は正確ではない場合があります。デジタル署名は、メッセージの送信元を認証するために使用できます。デジタル署名の秘密キーの所有権が特定のユーザーに結び付けられている場合、有効な署名は、メッセージがそのユーザーによって送信されたことを示します。送信者の信頼性に対する高い信頼性の重要性は、金融のコンテキストでは特に明らかです。たとえば、銀行の支店が中央オフィスに指示を送信し、口座残高の変更を依頼するとします。中央オフィスが、そのようなメッセージが本当に承認されたソースから送信されたと確信できない場合、そのような要求に基づいて行動することは重大な間違いになる可能性があります。
誠実さ
多くのシナリオでは、メッセージの送信者と受信者は、メッセージが送信中に変更されていないという確信が必要になる場合があります。暗号化によりメッセージの内容は隠されますが、暗号化されたメッセージを理解せずに変更できる場合があります。(非可鍛性と呼ばれる一部の暗号化アルゴリズムはこれを防ぎますが、他のアルゴリズムはこれを防ぎます。) ただし、メッセージがデジタル署名されている場合、署名後にメッセージを変更すると、署名が無効になります。さらに、ほとんどの暗号ハッシュ関数では計算上不可能であると考えられているため、メッセージとその署名を変更して有効な署名を持つ新しいメッセージを作成する効率的な方法はありません (衝突耐性を参照)。
否認防止
否認不可、より具体的には発信元の否認不可は、デジタル署名の重要な側面です。
この特性により、ある情報に署名したエンティティは、後からその情報に署名したことを否定することはできません。
同様に、公開鍵のみにアクセスしても、不正な者が有効な署名を偽造することはできません。
これらの認証、否認防止などの特性は、秘密鍵が使用前に失効されていないことに依存していることに注意してください。鍵ペアの公開失効は必須の機能であり、そうでなければ漏洩した秘密鍵が鍵ペアの所有者を疑わせ続けることになります。失効状態を確認するには、
「オンライン」チェック。たとえば、「証明書失効リスト」をチェックしたり、「オンライン証明書ステータス プロトコル」を介したりします。
これは、大まかに言えば、クレジットカードを受け取った販売者が、まずクレジットカード発行会社にオンラインで問い合わせて、そのカードが紛失または盗難の報告を受けていないか確認するのと似ています。もちろん、盗まれたキー ペアの場合、スパイ目的で偽の証明書に署名するなど、秘密キーが使用された後で初めて盗難が発覚することがよくあります。
試験のヒント:
デジタル署名は機密性を提供しません。送信者の秘密鍵はデジタル署名の計算に使用されます。
暗号化は機密性のみを提供します。暗号化には受信者の公開鍵または対称鍵が使用されます。以下は誤った回答です。
送信者の公開鍵 - 受信者はデジタル署名を検証するために送信者の秘密鍵を必要とするため、これは誤りです。
受信者の公開鍵 - デジタル署名は否認防止を提供します。受信者の公開鍵は誰もが知っています。そのため、デジタル署名には使用できません。受信者の公開鍵は暗号化に使用できます。
受信者の秘密鍵 - 送信者は受信者の秘密鍵を知りません。したがって、このオプションは正しくありません。
この質問を作成するために、以下の参考資料が使用されました:
CISA レビューマニュアル 2014 ページ番号 348
http://upload.wikimedia.org/wikipedia/commons/2/2b/Digital_Signature_diagram.svg
http://en.wikipedia.org/wiki/Digital_signature
http://searchsecurity.techtarget.com/definition/digital-signature

最近購入したシステムの実装後レビューで情報システム監査人が判断すべき最も重要なことは、ユーザー要件が満たされているかどうかです。ユーザー要件とは、システムの機能、性能、品質、セキュリティなど、システムのユーザーの仕様と期待のことです。ユーザー要件は通常、提案依頼書 (RFP) や契約書など、システム取得プロセスの初期段階で定義され、文書化されます。ユーザー要件は、実装前と実装後のシステムのテストと評価の基礎としても使用されます。
ユーザー要件が満たされているかどうかを判断することで、IS 監査人はシステムが目的に適合し、ユーザーと組織に価値とメリットをもたらしているかどうかを評価できます。また、ユーザー要件が満たされているかどうかを判断することで、IS 監査人はシステムの機能、使いやすさ、信頼性に影響を与える可能性のあるシステムのギャップ、問題、または問題点を特定できます。ユーザー要件が満たされているかどうかを判断することで、IS 監査人はシステムの改善または拡張に関するフィードバックや推奨事項を提供できます。
利害関係者の期待が特定されたかどうかは、情報システム監査人が最近購入したシステムの実装後レビューで判断する上で最も重要なことではなく、むしろその前提条件または入力事項です。
利害関係者の期待とは、ユーザー、管理者、顧客、サプライヤー、規制当局、監査人など、システムに関心や影響力を持つさまざまな関係者のニーズと要望です。利害関係者の期待は通常、実現可能性調査やビジネス ケースなど、システム取得プロセスの初期段階で特定され、分析されます。利害関係者の期待は、ユーザー要件の定義と優先順位付けの入力としても使用されます。
ベンダー製品が実行可能なソリューションを提供しているかどうかは、最近購入したシステムの実装後レビューで情報システム監査人が判断する最も重要なことではなく、むしろその結果です。ベンダー製品とは、ユーザーの要件を満たすために外部のサプライヤーまたはサービス プロバイダーによって提供されるシステムです。ベンダー製品が実行可能なソリューションを提供しているということは、ベンダー製品がユーザーの要件を満たしているかそれを超えており、ユーザーと組織に価値とメリットを提供していることを意味します。ベンダー製品が実行可能なソリューションを提供しているかどうかは、ユーザーの要件とベンダー製品のパフォーマンスおよび品質を比較して評価することで判断できます。
運用アクティビティを反映したテスト シナリオは、最近購入したシステムの実装後レビューで情報システム監査人が判断する最も重要な事項ではなく、むしろその要因または基準です。テスト シナリオは、システムがユーザー要件を満たしているかどうかをテストおよび検証するために使用される一連の条件または状況です。運用アクティビティを反映したテスト シナリオとは、テスト シナリオが、システムを使用するかシステムに依存するビジネス プロセスまたは機能の通常の運用中に発生する実際のシナリオをシミュレートまたは複製することを意味します。運用アクティビティを反映したテスト シナリオは、テスト結果が有効で、信頼性が高く、関連性があることを保証するのに役立ちます。
参考文献:
* 導入後レビュー：実施方法とそのメリット 1
* 実施後レビュー - 首相官邸 2
* 最近インストールしたシステムの実装後監査を実施する方法 3

監査で最大の懸念事項となるのは、クリティカル パスで定義されたタスクにリソースが割り当てられていないことです。これは、プロジェクトが大幅な遅延やコスト超過に直面する可能性が高いことを意味します。クリティカル パスとは、プロジェクトを完了するために必要な最小時間を決定する一連のアクティビティであるためです。一部のアクティビティの実際の開始時間が当初の予定より遅れていることは、プロジェクト計画からの若干の逸脱を示している可能性がありますが、クリティカル パス上にない場合は、プロジェクト全体の完了時間に必ずしも影響するとは限りません。プロジェクト マネージャーが正式な認定を受けていない場合は、プロジェクト管理プロセスの品質と効率に影響する可能性がありますが、必ずしもプロジェクト マネージャーが無能または不適格であることを意味するわけではありません。すべてのプロジェクト成果物に対してマイルストーンが定義されていますが、クリティカル パス タスクのリソース制約と依存関係を考慮していない場合、マイルストーンは現実的または達成可能ではない可能性があります。参考文献: CISA レビュー マニュアル (デジタル版)、第 2 章: IT のガバナンスと管理、セクション 2.3: IT プロジェクト管理

説明
IT とビジネス戦略の整合性を監査する場合、IS 監査人が新しい IT イニシアチブの成果物を計画されたビジネス サービスと照らし合わせて評価することが最も重要です。これにより、IS 監査人は、IT イニシアチブがビジネスのニーズと期待を満たし、価値とメリットをもたらし、ビジネスの目的と目標をサポートしているかどうかを評価できます。組織の戦略計画を業界のベスト プラクティスと比較することは、IT とビジネス戦略の整合性を監査するための可能な手法ですが、業界のベスト プラクティスは組織の特定のコンテキストまたは状況には適用できないか、関連していない可能性があるため、IS 監査人が行う最も重要なことではありません。上級管理者に IT 機能についての意見を聞き出すことは、IT とビジネス戦略の整合性を監査するための可能な手法ですが、上級管理者の意見は主観的または偏っている可能性があり、IT 機能の実際のパフォーマンスまたは結果を反映していない可能性があるため、IS 監査人が行う最も重要なことではありません。新しい IT プロジェクトを監視するために IT 運営委員会を任命することは、IT とビジネス戦略の整合性を確保するための可能な制御ですが、IT 運営委員会は新しい IT プロジェクトの監視において効果的または効率的ではない可能性があり、IT 機能に対する十分な権限や影響力を持たない可能性があるため、IS 監査人が行うべき最も重要なことではありません。