説明/参照:
データ スチュワードまたはデータ管理者は、データの保存と保護を担当し、システム アナリストやコンピューター オペレーターなどの IS 担当者が含まれます。
CISA試験では、組織における以下の役割を知っておく必要があります。
データ所有者 - これらの人々は通常、ビジネスの運営と管理のために情報を使用する責任を負うマネージャーやディレクターです。彼らのセキュリティ責任には、アクセスの承認、人事異動があった場合のアクセス ルールの更新の確認、責任のあるデータのアクセス ルールの定期的な確認などが含まれます。
データ管理者またはデータ スチュワード - これらの人々はデータの保存と保護を担当し、システム分析担当者やコンピューター オペレーターなどの IS 担当者が含まれます。
セキュリティ管理者 - セキュリティ管理者は、IS プログラム、データ、および機器に対して適切な物理的および論理的セキュリティを提供する責任を負います。
データ ユーザー - 内部および外部のユーザー コミュニティを含むデータ ユーザーは、コンピュータ化されたデータの実際のユーザーです。コンピューターへのアクセス レベルは、データ所有者によって承認され、セキュリティ管理者によって制限および監視される必要があります。
誤った回答は次のとおりです。
データ所有者 - これらの人々は通常、ビジネスの運営と管理のために情報を使用する責任を負うマネージャーとディレクターです。
データ ユーザー - 内部および外部のユーザー コミュニティを含むデータ ユーザーは、コンピュータ化されたデータの実際のユーザーです。
セキュリティ管理者 - セキュリティ管理者は、IS プログラム、データ、および機器に対して適切かつ論理的なセキュリティを提供する責任を負います。
この質問を作成するために、以下の参考資料が使用されました:
CISA レビューマニュアル 2014 ページ番号361

説明/参照:
Explanation:
組織のトップマネジメントによって開発され承認された情報システム セキュリティ ポリシーは、論理アクセス制御を設計および開発するための基礎となります。アクセス制御リスト、パスワード管理、およびシステム構成ファイルは、アクセス制御を実装するためのツールです。

定期的にレビューおよび更新されていない IT ポリシーと手順を確認する際の IS 監査人にとって最大の懸念は、ポリシーと手順が現在の慣行を反映していない可能性があることです。ポリシーは、組織の情報システムとリソースの目標、目的、ガイドラインを定義するドキュメントです。手順は、ポリシーを実装または実行するための手順、タスク、またはアクティビティを説明するドキュメントです。ポリシーと手順は、組織の情報システムとリソースに関連性があり、正確で、一貫性があり、効果的であることを確認するために、定期的にレビューおよび更新する必要があります。定期的にレビューおよび更新されていないポリシーと手順は、組織の情報システムとリソースの現在の状態またはニーズと時代遅れ、旧式、または互換性がない可能性があるため、現在の慣行を反映していない可能性があります。これにより、ポリシーと手順をガイダンスまたは指示として頼りにしているユーザーまたは利害関係者の間で、混乱、矛盾、非効率、または非準拠が発生する可能性があります。ポリシーと手順に新しいシステムとそれに対応するプロセス変更が含まれていない可能性があることは、定期的にレビューおよび更新されていない IT ポリシーと手順を確認する際の IS 監査人にとっての懸念事項になる可能性がありますが、最大の懸念事項ではありません。ポリシーと手順には、組織内の情報システムやリソースの導入や変更を認識しなかったり、対応しなかったりする可能性があるため、新しいシステムやそれに対応するプロセスの変更が含まれていない可能性があります。これにより、さまざまな情報システムやリソースに影響を与えるポリシーと手順の間にギャップ、重複、または競合が生じる可能性があります。

セクション: 情報システムの運用、保守、サポート

セクション: 情報資産の保護