説明
顧客がインターネット経由で直接アクセスする Web ベースの CRM システムは、外部の脅威や不正アクセスから保護するために、安全で隔離された環境でホストする必要があります。また、Web ベースの CRM システムは信頼性が高く、信用でき、定期的にバックアップされている必要があります1。
サービス プロバイダーが適切なセキュリティ対策とサービス レベル契約を締結している場合、監査人は、外部のサードパーティ サービス プロバイダーのサーバー (A) またはサービス プロバイダーが管理するハイブリッド クラウド プラットフォーム (B) でシステムをホストすることは問題にならない可能性があります。監査人は、CRM データをサービス プロバイダーに委託する前に、サービス プロバイダーのセキュリティ管理と契約条件を確認する必要があります23。
企業ネットワークの非武装地帯 (DMZ) 内でシステムをホストすることは、インターネットなどの信頼できないネットワークから CRM システムにセキュリティの追加レイヤーを提供する一般的な方法です。DMZ は、CRM システムを内部ネットワークから分離し、セキュリティ ゲートウェイ 4567 を使用して外部ネットワークからの着信トラフィックをフィルタリングする境界ネットワークです。
企業ネットワークの内部セグメント (D) 内でシステムをホストすることは、CRM システムと内部ネットワークがインターネットからの潜在的な攻撃にさらされるため、監査人にとって懸念事項です。CRM システムは、DMZ またはファイアウォールで保護されていない限り、インターネットから直接アクセスできないようにする必要があります。これにより、CRM データと内部ネットワークの機密性、整合性、可用性が損なわれる可能性があります78。

継続的な監査アプローチの利点は、大量のトランザクションを処理するタイムシェアリング環境で使用すると、システムのセキュリティを向上できることです。

説明
ジョブ スケジューラ アプリケーションのパラメータの変更は、運用管理者によって承認およびレビューされていません。これは、IT 運用の整合性、可用性、およびセキュリティを危険にさらす可能性のある重大な管理上の弱点です。IS 監査人は、このような変更に対する監視と説明責任の欠如について懸念する必要があります。その結果、処理環境に影響を与える不正な、誤った、または悪意のある変更が発生する可能性があります。その他のオプションは、それほど重要ではない問題であり、IT 運用に大きな影響を与えない可能性があります。参考資料:
CISA レビューマニュアル（デジタル版）、第 4 章、セクション 4.2.3.11
CISA レビュー問題、解答、解説データベース、質問 ID 202

IT セキュリティ リスクを評価する場合、IT 環境全体を考慮することが重要です。セキュリティ リスクの対策は、リスクを最小限のコストで最大限に軽減できるように、最も重要度の高い領域に重点を置く必要があります。IT 戦略計画は、適切な対策を提供できるほど詳細ではありません。客観的な指標は、測定可能な目標に対して時間の経過とともに追跡する必要があります。したがって、今日の結果を先週、先月、前四半期と比較することで、リスク管理が強化されます。リスク対策では、ネットワーク上の資産をプロファイルして、脆弱性リスクを客観的に測定します。許容範囲は特定しません。

実現可能性調査とは、新しいシステム開発など、提案されたプロジェクトが成功する可能性を判断する評価です1。実現可能性調査では通常、技術的、経済的、運用的、法的実現可能性など、プロジェクトのさまざまな側面が対象となります2。情報システム監査人の役割は、実現可能性調査を監査し、それが客観的、現実的、信頼できるものであることを確認することです3。
実現可能性調査の最も重要な側面の 1 つは、経済的実現可能性です。これは、提案されたシステムのコストと利点を分析し、代替ソリューションと比較するものです2。経済的実現可能性調査には、開発、実装、運用コストの詳細な内訳、およびシステムの予想収益、節約、無形のメリットを含める必要があります3。情報システム監査人は、コストと利点の文書を妥当性と正確性についてレビューし、仮定と計算が有効であり、証拠によって裏付けられていることを確認する必要があります3。
その他のオプションは、システム開発プロジェクトの実現可能性調査の監査とは直接関係ありません。
プロジェクト チームの主要メンバーの資格を確認すること (オプション A) は、プロジェクトのプロジェクト管理と人事面の監査に関連します。提案依頼書 (RFP) を確認して作業範囲をカバーしていることを確認すること (オプション B) は、プロジェクトの調達とベンダー選択プロセスの監査に関連します。ベンダー契約が法律顧問によって確認されていることを確認すること (オプション D) は、プロジェクトの法的および契約的側面の監査に関連します。
参考文献: 3: ソフトウェアプロジェクト開発における実現可能性調査の種類 2: システム開発プロセスにおける実現可能性分析 1: 実現可能性調査とは何か? 定義、利点、種類