【AP】令和7年秋午後問11システム監査の解説（応用情報技術者試験）

このNoteでは「応用情報技術者試験 令和7年秋午後問11（システム監査）」の解説をします。

元々解き始めが3頁目と遅かったのですが、昨今は最後の最後に空欄を纏めるようになりました。”読んだのに分からなかった”で撤退すると時間を大ロスしちゃうので、解くかは覚悟が必要です。
＞【AP】令和6年春午後問11システム監査の解説Note
＞【AP】令和7年春午後問11システム監査の解説Note

私は本試験では「解き始めの速さ」を重視するので、問11は選びません。しかし、点数の手応えに余裕があるor手違えて残り時間がない、って状況で「雑に解く」ならアリかなと、最近思えるようになりました。

現状、問題文に必ず答えがあるので、丁寧に「国語の問題」として「言葉探し」をすれば、理解した/しないに関わらず解答はできます。

とはいえ、本試験で「残り時間がない=ペースが乱れた」「雑に解く=度胸必要」ってなかなか踏ん切りがつかないですね。

あくまで「技術系を解きたい」「安定させたい」「解き始めが速い問題を好む」私の所感です。薦めないですが、全然否定しません。相性。

問11が点数源な方は、速読法など独自の解法で安定化を試みてくださいね。

このNoteでは、私がIT以外の学生時代にAPに独学合格した経験と、大学・IT専門学校で応用情報技術者試験の対策授業を担当した経験を詰め込んで作りました。

それでは始めましょう！

※このNoteは後日有料になります。お早めにお読みください。その後はマガジンに追加されます。マガジンも値上げしますので、お早めにご購入ください。

設問1a

模範解答は「代替の管理策の適用」

【空欄a】前「アクセス管理規定に定められた管理策が適用できない場合」を探します。

64頁末(4)「アクセス管理規定に定められた管理策を適用できない場合には、グループ各社のシステム部が代替の管理策を申請し、P社システム統括部長の承認を受ける」。

66頁「【空欄a】も考慮して、点検のポイントを適切に設定しているか」。

点検は、64頁頭「アクセス管理状況に関する自主点検（以下、点検という）」なので、管理策絡み。

以上より「代替の管理策」。

なんですが、模範解答は「の適用」を書き加えてます。【空欄a】前が「管理策が適用できない場合」なので「代替の管理策の適用」なんでしょう。メクジラ立てて×にしないとは思いますが、自己採点する際は〇以外が良いかと。

設問2b | S社がやらかした原因

正答はエ（点検）

「【空欄b】が形骸化～S社」より、「S社」で「形骸化」したのが何かを探ります。

「S社」のやらかしは、65頁頭(8)「S社は～アクセス管理策の運用状況に関する不備に起因して～個人情報が漏えいする事案～が発生していた」。

さらに「S社」を探して。66頁頭(4)「S社で情報漏えい事案の発生時までに実施された点検では～不備は全く発見されていなかった」。

運用に不備があったのに、点検で不備は発見できず。S社の点検が"なぁなぁ"になってそうだなと着想。

設問3(1)c | 国語的に組織でしょう

模範解答は「委託先」

「グループ各社及び【空欄c】」なので、”組織かな”と目星。64頁(2)や65頁(6)に「業務委託」がチラチラ出てたので、パッと思い浮かびました。

国語の問題でもアプローチ。

【空欄c】後「是正状況を確認」する対象。表2-2「委託先における～是正状況を確認しているか」。「委託先」で確定。

設問3(2)d, 3(3)e | 徹底的な拾い出し

模範解答は
d：「P社システム総括部」
e：「是正を進めるよう指導, 支援」

dは正解、eは不正解でも良しとしましょう。

【空欄d】後「Q社のシステム部」に干渉する組織を探すんだ、と目星。

「Q社」を探す。

64頁頭「小売業Q社」とだけ。
65頁頭(6)「Q社はクレジットカード～U社に運用, 保守を業務委託している」。特段何かされてない。
65頁頭(7)「Q社の店舗～」。システム部ではない。
65頁末(3)「Q社のシステム部からは～不備が報告されていた」。「P社システム総括部に報告」している模様。他組織と絡んでます。

一旦「P社システム総括部」と「Q社システム部」の直接的な絡みの線で探します。

…残念ながら、なかったので「P社システム総括部」から「各グループ会社」の記述で大々的に拾います。大変…。

ただし、Q社の不備をP社に「報告」しているので、そのリアクションで絞ります。

65頁(1)②「グループ各社のシステム部は～P社システム総括部に報告する」。報告が行きました。
リアクションもありました。65頁(1)③「P社システム総括部は、～報告内容を確認し、～不備についての是正を進めるよう指導, 支援する」。

本試験でこんな厳密に探しきれないですが…。まぁ、ちゃんと答えはありましたよ、っと。dは正解できますが、eは難しいですね。

設問4(1)fg

模範解答は
f：「承認の記録」
g：「更新の内容及び理由」

【空欄f】前「P社システム総括部長」の「各管理表の更新」への関与を探します。

「P社システム総括部長」で探して。
64頁末(4)「代替の管理策を申請し、P社システム統括部長の承認を受ける」
65頁頭(7)「（Q社店舗の共用のIDとPWD絡みを）P社システム総括部長は、当該管理策を承認している」

そして。
65頁末(2)「（P社）システム総括部長は、担当者から更新の内容及びに理由について説明を受け、各管理表に承認したことを記録する」。これだけ「更新」も絡み。

「P社システム総括部長」の「各管理表の更新」があったのは、3つ目の65頁末(2)だけ。

よって【空欄g=更新の内容及びに理由】は理解できます。

【空欄f】は模範解答を見れば、"たしかに同じ一文内に承認を記録"してたので理解はできはします。

原則は問題に即して解く

できれば、問題文に”【空欄f】の事実を確認”とか”【空欄f】の記録を確認”と書いてくれた方が良いかなと。

【空欄f】は何でも入りそうですよね。私はgは正解、fは「理解」や「認識」と勘で書きました。

あと「【空欄g=内容及び理解】を把握しているか～確認」って、結構失礼ですよね。65頁末(2)で「部長尾は～内容及び理由について説明を受け、～承認した」ので、改めた聞くかって。

人間なので、件数多かったら多少忘れるでしょうし、点検表などを見て思い出せば良く。承認した当時の判断を今検討しても正しければ良いわけで。監査で”覚えてるかテストします”って、可哀そうだなぁと。

1つエピソードを紹介します。

システムメンテナンスの時刻を、4～8時/8～12時/12～16時から選べみたいな問の話。

正解はアクセスが一番少ない4～8時の時。問題文に裏付けるアクセス数も明記がありました。

しかし学生さんが「4時だと始発なくて、前日泊まりはブラックだから、6～10時と解答した」とのケースがありました。

気持ちは分かります。しかしこれは試験。

問題文に書かれていない勤務体制などもあるでしょうし。

採点者だって「なんで6時からしたん？」と理解できなければ×ですし、問題文に時間枠が明記されているので「読み通らないで勘で答えたよね」と×にするでしょう。

採点者は学校の先生ではないので、機械的と推測されます。採点者はたくさんいるでしょうから、機械的でないと全国一律の基準になりませんし。

APがCBTになって、もし記述解答が継続するなら、AIで採点するんですかね？

設問5hi

模範解答は「各管理表」「点検表」

【空欄h】【空欄i】前に「点検の対象を見直した結果に基づき」「グループ会社に点検が指示されているか」と2つ対応してます。

「点検を指示」するのは表1「点検表」。こちらは簡単。

「点検の対象を見直した結果」は、67頁「点検の対象が記載されている書く管理表の更新」から「各管理表」。これは難しかったですね。”各管理表の「各」って複数かよ！”って。

「各」がないと残念ながら×かなぁ。64頁に「（以下、各管理表という）」と定義されたので。

正直いつも大きくは役に立たないんですが💦今回は、全体を見直せば目に留まったかもですね。

気になった点

問題文を読んでて気になった点を挙げておきます。

過去問演習では、印刷してマーキングしてください。どんな時代になろうが、学習は手作業が重要です。頭にUSBを刺して習得するまでは。＞長文問題を読む６つのテクニックNote（３）

CBT（ペーパーレス）に備える時は、マーキングできないので、メモに書き出してください。

「共用のID及びPWD

65頁頭(7)「共用ID及びパスワード」は、セキュリティ的にアウトですね。

IDとPWDが漏れたら誰でもログインできます。不正が発覚した時は操作者の特定ができません。

一応「10営業ごとに変更」しているようですが。

とはいえ「P社システム統括部長は、当該管理策を承認している」ので、監査の指摘にはならなさそう。

予備調査の１ヶか月前に漏えい事案

65頁(8)「予備調査の１か月前には、～個人情報が漏えいする事案～が発生していた」が、わざとらしいなと。

予備調査で発覚する前に、攻撃or不正が成立しているので、下々に予備調査が周知されていたのかな？

監査は、抜き打ちや秘密にする必要はないですが、大々的に「監査がくるぞー」と周知するものでもないですし。「マズイものは隠しとけー」みたいな。

点検頻度「半年」は適切か？

65頁後半(1)①「半年ごと」。一応数値なので、丸囲み。＞長文問題を読む６つのテクニックNote（３ー２）

半年ごとの点検が、適切な頻度なのか気になりました。私の専門学校だと、備品確認は3ヶ月（四半期）ごとなので。

業務や実情に依るとは思います。今後、点検頻度が、攻撃や脆弱性の成長速度に追いついていない雰囲気が出たら、再考しそう。

不備の発覚

65頁末(3)「点検の都度、U社におけるアクセス管理策の不備が報告されていた」。

どんな不備だったのか、今後説明があるのかな、と▶印。

あと「点検の都度～不備が報告」なら、改善してないのは大問題だなと。またグループ会社が多いので「U社」の事例だと整理。

不備がない

64頁頭(4)「S社で情報漏えい事案～点検では～点検していたものの、不備は全く発見されていなかった」。

点検手段が悪いか、点検実施が悪いのか。怪しいので▶印。＞長文問題を読む６つのテクニックNote（３ー３）

まとめ

お疲れ様でした！

「問題文に答えがある」「設問文や空欄前後をキーワードに言葉を探す」で、全問正解が狙えるのは分かったかなと思います。

とはいえ、読み取りにくい文章の時もあったので、気を付けて下さい。＞【AP】令和6年秋午後問11システム監査の解説Note

問題文の書き方/日本語に合う合わないがないなら、選んでも良いかもです。

私のNoteではIP～SC, DB, NWまで幅広く解説しています。全て私が解いて手作りしてますので、合格者/先生の視点として参考になったら嬉しいです。良かったらまた覗きに来てくださいね。お待ちしてます。

APには、解説以外の戦略Noteも準備しました。

• ＞午後問題を選ぶ3つの視点Note

• ＞午後問題の時間配分Note

• ＞試験当日の持ち物と当日の行動Note

＼全ての無料Noteへのリンク！／

＼全てのAP系Noteが読めます／