タグ「システム監査」 の検索結果(1/1)

2010年3月 7日

シス監受験と経営(ネットワーク+簿記+IFRS+クラウド)


昨日「だから、2010年はシス監とネスペ(っていうの今も?)と簿記(一応2級)を受験しようと検討中。」というツイートをしたのですが、「シス監にはDBが必要」とのご意見をいただき一度心が揺れ動いてしまったeddieですorz

その後、どう考えても140文字では表現できないくらいたくさんの考えが浮かび、また、その考えが今までの断片的な知識をつなぎ、これからのeddieの会社員生活の数年間(短っ!)をどう濃密に過ごすかについて、ある意味素敵な道筋が出来てしまったのでここでまとめてみます。

まず、前提としてeddieは製造業の情報システム部員です。就職氷河期の荒波をくぐり抜け、幾度の転職を経てようやくつかんだ田舎の大きな老舗会社の正社員職です。ただ、古い体質の会社ということで、笑っちゃう程の年功序列のため、何度もtwitterで愚痴ってる通り年齢順では37歳にして下から2番目のヒラです。しかし部内では技術的に負ける気がする人は一人を除きいません。(twitterで己の井の中の蛙を知ったわけですがw)

ですがeddieは就職したころからずっと会社経営を夢見ていて古い友人には「まだなの?」と言われる始末。転々としてる間に結婚して子供も抱え家まで建ってしまったので独立はもう少し我慢です。そんな「経営者希望の視点」から必要と考えた勉強の一つが「システム監査技術者」でした。

システム監査技術者(以下「シス監」)の受験は3回目で実質2回目(1回目はホントに無謀な受験だったのでノーカウントw)ですが、概要がおぼろげながら分かってきて、eddieのシス監受験の選択が間違っていなかったことに気付きました。それはシス監の求める人物像が「経営戦略と情報戦略の整合性がとれているか、を第3者視点で監査する人」であるからです。(この辺はまだ勉強中で少々あいまいorz)

一方、eddieの所属する情報システム部(以下「情シス」)は監査人に監査される側です。情シスの役割は会社の経営戦略にマッチした情報戦略、つまり、稟議書を書き必要なIT投資を経営者に立案することでです。その手続きが監査人が組織から独立した第3者として監査されるわけです。ということは、第3者の監査人が見たときに、適切な投資計画のもとに適切な手順で決済がされていることが、会社として望まれるので、その末端で設備提案を担当するeddieがシス監に「萌え萌え」なのも不思議なことではありませんw

シス監では上記のような大きな視点を抑えつつ技術的な知識もまた必要です。ただ、DBスペシャリストが必要かと言えば、eddieは全く不要だと考えます。たとえば、テーブル設計の思想や正規化やRDBMSというような具体的な専門知識をシス監は求めてないからです。専門知識は専門家に任せるのが適切です。eddieはDBが正直苦手ですから、将来経営者になったらDB技術者には甘いと思いますw 

また、eddieはネットワーク技術者としての経験が一番長いので、そちらの技術を磨きたいと思います。これもtwitterで専門家の方々に相手にしてもらううちに芽生えた気持ちです。一時は周囲に話の分かる人がほとんどいなくてふてくされてたのですが、先日、そんなフテ顔の横っ面をひっぱたかれた感覚は久々に目を覚ましてくれるものでした(みなさまありがとうございます!)そして、専門家として新しい知識を事前に仕入れておくことは、情報戦略として適切な施策を立案するうえでは不可欠です。「知らなかったばっかりに」なコスト負担増もあります。技術は会社経営を救います!(ネスペ受験はおまけです!という負け惜しみ野郎の昨年の結果は午後Ⅱで不合格orz)

そしてセキュリティです。eddieはセキュリティ対策部隊でもあるのですが、シス監では「リスクとコントロール」も重要なキーワードです。リスクを勘案し適切なコントロールがされているかどうかを書面やインタビューで監査人に監査されます。ということは情シスが、監査人が求める「リスクとコントロール」を実施しなければならないわけです。個人情報漏えい対策などの具体的事例の提示はきりがないので避けますが、シス監へのステップアップとして一番近いのは「情報セキュリティスペシャリスト」ではないかと考えます。(受験はしませんが...)

eddieは「業務システム開発」にもものすごーく興味があって、それは会社のモノとお金の流れがITで具現化された、まさに経営ツールだからです。eddieの勤め先は製造業なので、業務システムにおける情シスの主な担当システムは「生産管理システム」で、原価管理の知識が(本来)必要です。(中の人はよくわかってなさそうなのが怖いのですが...)だから「原価管理と言えば簿記2級でしょ!」という理由で、無謀にも3級を飛ばして初受験を2級に据えたわけです。受かることが目的じゃないのでそういう無謀をします。つまり、原価管理を知りたいだけなのと「3級は高校生でもとれる」との周囲の雑音をうのみにしたバカな男の暴挙です。(3級から地道にやった方がよいのは承知)

そういう観点で財務諸表などはここ数年眺めていたのですが「IFRS」!こいつはヤバいです。まだ「何となく」の域を超えないど素人なため用語もスラスラ出てこず、何がヤバいのかは書けませんが、ともかくヤバい(感じがする)!そしてそのヤバさは経営に直結すると思うので、何でヤバいのかを自身が納得したくて、誰に頼まれもしないのに勝手に勉強しています。

そして、最後に「クラウド」!これもヤバいw 笑い事じゃないのですが、クラウドで情シスは無くなると思います。ただ、クラウドに情報システムを預けるにあたっては、今述べてきたような技術的な知識をフル動員して経営戦略に整合性を持たせた情報戦略の立案が必須と考えています。いわずもがな、クラウドの技術的背景は最低限抑えておくことは必要です。

「情シス部員」であるeddieが会社で最後まで生き残るため、そして会社が生き残ってもらうために選択した「必要な知識を効率的に得るための受験」なので、合否はどっちでもいいんです(負け惜しみ)。ただ、受験という強制的な目標とたかだか5000円そこそこですが、受験料と交通費と貴重な日曜を潰してやるからには「受かるぞ!」という気持ちが知識の定着を助ける、というgdgdなエクスキューズを最後に文章を締めます。(なんだこの最後!?)

最後に
受験日まであと1か月ちょっとですが「やれるだけのことはやる!」以上!

2009年4月20日

受験完了 -システム監査-

 

昨日は御殿場からわざわざ静岡大学まで受験しに行ってきました。

 

結局前の日はあまり眠れず、体調管理は完全に失敗。

しかし、天気が良かったので受験に臨む気分自体はとてもよいものでした。

 

■静岡大学

今回で3度目ですが、バス代も280円(片道)かかるし駅からはすごく遠いです。さらに構内も広くて、人文学部まで歩きましたが、案内も貧弱で迷ったうえに上り坂で、寝不足に追い討ちを掛けられて少々ショッキンぐ~でした(古っ!)

結局、駅についてから会場の教室まで40分~50分かかったんじゃないかなぁ。

 

■会場の様子

受験者が少なく、受験番号分だと40人未満。欠席者を除くとおそらく20人から30人くらい。

隣の人のいすがキコキコ音がしているようでちょっと気になったけど、午後Ⅱ試験の時に欠席者のあいていた席に移動してくれたみたい。

 

■問題

  • 午前Ⅰ

 「えっ?」って感じ。まず確認不足だったのですが、午前試験がⅠとⅡに分割されたのを知らなかったこと。それと問題内容も、論理和とかネットワークとかデータベースとか今までほとんど出題がなかった分野からの出題が多かったこと。

とはいえ、以前からセキュアドとか受験していたからなんとなく覚えていた問題もあったので、結果的には「24/30」で合格ラインは突破したみたい。(当日のIPA発表の解答で自己採点をしました。)

  • 午前Ⅱ

全く問題なし。過去問からの使いまわし問題が多く、むしろ時間が余ってしまいました。

結果は「22/25」。

 

  • 午後Ⅰ

これまた「えっ?選択2問でいいの?」で確認不足。こちらIPAにはしっかり「2問選択」とありました。

選択したのは問1問4で「それなりに解答できたのかなぁ」とは思うけど、こればっかりは採点待ち。

 

  • 午後Ⅱ

こちらは3問中で問2の「ログの監査」を選びました。(あとはシン・クライアントと?)

ア-800時以内。イ、ウ-700字以上1400字以内という制限が新たに加わったようです。

アは800字ぎりぎりまで使って書きました。イとウはそれぞれ700字プラス1行で一応は条件をクリアすることはできました。

 

とりあえず、終わったことでなんとなくホッとしました。

 

もし次回、となったときの教訓。

「睡眠をコントロールしよう!」

 

■■■ 

 

さぁ、次、次。

英検でも受けようかな、と思っている今日この頃。

英文法&英語の語法に関するQ&A

2009年4月18日

システム監査技術者試験 -受験前日-

今日は受験の前日。

ブログなんて書いてる場合じゃないのはわかっているけど、ここ数日少々不調。勉強もその前までの好調さを維持できず、ここ二日はノートや教材を見るのも嫌なくらいだったので、ここで一呼吸入れて、残り半日をすごしたいと思います。

気温の変化にもやられてしまったらしく、若干風邪気味...。

 

とはいえ、今日の受験前日の一日を大切に。

 

受験に当たってよかったなぁ、と思ったこと。

  • 用語を記憶することの大事さがわかったこと。つまり、インプットするための語彙量とアウトプットするための語彙の量とは差があることがわかったこと。
  • 情報システム監査の業務を一度おこなったことあるが、体系的知識を得ることで、以前の経験を振り返り、より専門的な見方ができるようになったこと。
  • セキュリティ用語の語彙が増えたこと。
  • 業務システム(ERP)について概要が理解できるようになったこと。
  • 経理関連知識(財務分析)が増えたこと。
  • 午後試験のテクニック、つまり出題者の心理を読み回答を作り出すコツがわかったこと。そして、それにはシステム監査の語彙が必要であることがやっと理解できたこと。
  • 受験前の体調管理が大切なこと。

 

不足を感じたこと。

  • 経理・生産管理の経験・知識

 

本業であるインフラ系とは違う、業務系システム開発業務を体系的知識として先行学習しておきたい、というのが今回の受験動機でもありました。

まったく未知であった業務系システムに関して、インプットのための語彙を受験勉強によって増やすことができたので、今回はこれでよし、とします。

 

なんでこんな言い訳がましいことをわざわざ書いておくかというと、次回受験への教訓のため。

教材・ノートを読み返す復習をするたびに、読めばわかる模範回答がスラスラとは出力できないことを実感することが嫌でストレスになっている、というのがその表れ。つまり、まだアウトプットにはほど遠い語彙量しか蓄えられていないということがわかったから。

 

昨年からのこの試験に対する合格目標は3年計画であり、2回目の今年の目標は午後Ⅰを突破して午後Ⅱの採点までいくことでした。

運よく合格を狙いたいところですが、欲張らず。

 

2009年4月 5日

シス監メモ (完全個人用のため未整理)

午後Ⅰ

  • 表にはあまり重要なことは書いていない場合が多い。しかし、監査結果の表については「検印・閲覧」しかしてなくて「ログの突合」が必要な場合があることを指摘する問題ではその限りではない。
  • 問題文のはじめのほうに書かれている「監査の目的」は要注意。
  • プロジェクト管理の監査は、ユーザ側の出席者不在。
  • 業務システム図はよく読みこむこと。不正処理が入り込まないようなコントロール(統制)は組み込まれているかどうか、あるいは統制の不備はどこにあるのか、に注意して読む。
  • 事前承認のコントロール(承認など)があるかどうか、また、システムの変更(統合やERPの導入)があったときに以前と違ってコントロールがなくなってしまったことに気づけるかどうか。
  • 異動や退職によってIDやアクセス権が削除されているかどうか。
  • 文章中に出てくる「規定類」に対して、その後の作業が「準拠」しているかどうか。
  • 共用のIDは怪しい。不正操作、不正入室、盗難を考慮。

 

監査手続

  • ドキュメントレビュー
  • 現地調査
  • 照合

 

システム監査概要

http://www.kimura-kouichi.com/security/kouza/sample/am_other/kansa1.htm

このサイト、監査の流れがよくまとまってる。

 

フリーキャッシュフロー

http://itpro.nikkeibp.co.jp/article/COLUMN/20060530/239478/

この式の意味するところは,日々の営業でキャッシュを獲得し,図1左側の活動,すなわち明日の仕組み作りのためにキャッシュを使う。それで手元に残った正味のキャッシュ・フローがフリー・キャッシュ・フローということだ。手元に残ったから,自由に使える。これが「フリー」と言われる所以である。

自由に使えるといっても,会社が好き勝手に使えるということではない。図1のモデルからも分かるように,フリー・キャッシュ・フローは資金提供者に対する還元原資だ。すなわち,「フリー」とは,資金提供者である株主と債権者にとって「フリー」なのである(注1)

 

ROA

http://www.atmarkit.co.jp/aig/04biz/roa.html

基本的な計算方法は以下の式となる。

 
ROA=
利益
総資本(総資産)
×100

上記の基本式は次のように分解できる。

 
利益
総資本
利益
売上高
×
売上高
総資本
    (1)   (2)
  (1)=売上高利益率
(2)=総資本回転率

 

減損会計

http://www.itmedia.co.jp/enterprise/articles/0601/12/news015.html

新たに適用される固定資産の減損会計は、企業が使用する目的で所有する固定資産、具体的には、有形固定資産、無形固定資産および投資不動産などの資産が対象となります。

http://sociosys.mri.co.jp/keywords/017.html

固定資産の減損会計とは、固定資産のうち事業用資産の帳簿価額が、回収可能価額(=将来キャッシュフローの現在価値と正味売却価額のいずれか高い方の金額)を下回った場合、その価額まで下げて、減損損失を計上する会計制度である。

 

業務モデル

http://www.atmarkit.co.jp/fdb/rensai/db_enginer02/db_enginer02_1.html

ER図を描き上げるまでには、4つのプロセスがあります(図2)。

er-process.gif

WEB店舗の設計に役立つ。昔、PerlのCGIでWEBショップを運営したことがあるけど、こういう手法を知っていたら今でも続けていたかもしれないなぁ。結局DBサイトに移行しようと思ったがDB設計ができなくて、外注するのも嫌だったので止めてしまったが。

ところで「主キー」はこういう感じで決めるのね?

エンティティとは?

人(誰が)......取引先、組織、担当者、部署、顧客、従業員など
物(何を)......商品、製品在庫、資源、成果物、倉庫など
......価格、現金、消費税、通貨など
時間......カレンダー、工場稼働日、基準日程計画、世代管理
やりとり・活動・行為(どうする)......受注、発注、出荷、承認、値引き、出庫、入庫など

ある目的を持って同じようなデータを集め、その目的を明確に表す名前を付けたもの。

エンティティもこれだけしっかり抽出できればもれもなくなっていいDBが設計できるなぁ。

注文画面.gif

実際の業務で、何もシステムが存在しないところからER図を作成することはまれでしょう。おそらく、既存システムのリプレイスや拡張の際に、「すでにある画面や帳票からデータを収集して、ER図を作成すること(ボトムアップアプローチ)」が多いと思われます。

そうなんだ?既存システムの拡張だとそうかもしれないが、試験ではここらはトップダウンと書かれているからねぇ、理想と現実ってやつだな。

 

インバスケット・ゲーム

http://www.eonet.ne.jp/~in-basket/sub3.html

すごいなぁ、こんな試験があるの?

 

■■■

ABC分析と発注方式の選択(定期発注方式
http://www.kogures.com/hitoshi/webtext/zk-abc/index.html



自己資本比率
http://ja.wikipedia.org/wiki/%E8%87%AA%E5%B7%B1%E8%B3%87%E6%9C%AC%E6%AF%94%E7%8E%87

自己資本比率=((総資本-他人資本)÷総資産)×100

他人資本
http://www.nomura.co.jp/terms/japan/ta/taninsihon.html

他人資本は、流動負債と固定負債に分類される。(つまり負債の合計)

総資本
http://m-words.jp/w/E7B78FE8B387E69CAC.html
資産=総資本(負債+資本)

 バランスシート(B/S)の「右=総資産」で「左=総資本」

総資本回転率
http://www.nomura.co.jp/terms/japan/so/sosi_kaiten.html
総資本回転率=売上高÷総資本

損益分岐点=固定費÷{ 1-変動費率(変動費÷売上高) }
http://www.nomura.co.jp/terms/japan/so/soneki.html

 

■■■

 

 http://www.iist.or.jp/wf/magazine/0193/0193_J.html

「営業秘密」の保護対象となる情報は広範囲に亘る。新製品開発計画、経営計画、新規事業計画始め、製造ノウハウ、品質管理ノウハウ、あるいは部品調達先リストといった工場現場ノウハウの他、セールス・マニュアルや販売促進計画、顧客リスト等の販売機密も含まれ、これらの経営全般にわたる価値ある情報は特許の対象とはなり難いものでも「営業秘密」として法的保護対象とされるのである。また、特許の対象となりうる「営業秘密」もある。新規開発技術の特許出願に際してはその技術内容の開示が必要とされ、公示までの間相当の時間経過を要する。急激な新製品競争下では特許公示までの時間余裕を待てないこともり、その間、「営業秘密」として保護処置を講ずる選択枝もある。発明、新技術は、生産部門や営業部門、管理部門など企業の総合力をもって開発し、その結集された結果が新製品であり、市場へ送り出されてはじめて利益源泉となる実情がある。このため同業他社への秘匿性確保のため敢えて特許申請を行わず、関連する機密事項を「営業秘密」扱いとして保護処置を採ることも可能である。このように「営業秘密」の経営管理手法としての役割と重みが増大してきた。


http://sm.情報処理試験.net/archives/64822393.html

■3.イメージをわかせる
読んでいる人にとって、イメージがわくように書く必要がある。
アの前半である「情報システムの概要」には何を書いてもいいのではない。
たった400字で、どんな情報システムかが手に取るようにわかるように伝える必要がある。これは大変な作業だ。
ここで「字数が余る」という人は、まず不合格者であろう。

ここに入れたい情報は(最低限)
(1)企業概要

  • 業種

(2)自らの立場

  • ベンダ?
  • 社内の情シス?
  • 統括する立場?)

(3)情報システム概要

  • システム概要(経理システム、グループウェアなど)
  • 機器(ルータ○台、サーバ○台)
  • 利用者数

(4)後半へのつながり・・・運用管理の内容
システム管理なので、どのように運用しているかを書くとよい。
たとえば、

  • 「障害対応として、各営業所にて一次対応を任せ、2次対応を行う。」
  • 「障害復旧を4時間以内に保っている」
  • 「24時間停止できない」など。

ただし、書く内容はアの後半やイにつながる内容が求められる。

 

■■■

 

H17午前問21

リスク分析 → うかるぞ情報セキュリティアドミニストレータ

リスク対応 

 リスクの発生可能性(脅威×脆弱性) リスク発生の際の損害の大きさ

 リスク評価額=1回あたりの予想損害額×リスクの発生確率

 

H17午前問18

アプリケーションゲートウェイ

http://itpro.nikkeibp.co.jp/article/COLUMN/20080507/300822/

サーキットゲートウェイ

http://itpro.nikkeibp.co.jp/word/page/10005841/

 

H17午前問15

メッセージ認証

http://itpro.nikkeibp.co.jp/article/COLUMN/20071002/283486/?P=3

■■■

H16午後Ⅰ問3

LDAPの機能

 WEBサーバ証明書の認証

 CA自己証明書

 タイムスタンプ

http://netmars.mobi/technical/tips/ldap/t0001_1.html

 

H16午後Ⅰ問2

1.情報の重要性評価

4.

 脅威が現実のものとなる影響評価には、発生可能性発生頻度を考慮する

 事業の特徴や会社の方針から導かれる要求事項や判断基準がありうる

 

H17午前

 

問35 3PL SOA IBM山下 記事参照

 

問32

 以下のとき、ROEは何パーセント?

 売上高 200,000千円

 当期純利益 5,000円

 総資本回転率 2回

 自己資本比率 40%

 

 ROE=当期純利益/自己資本

 自己資本比率=自己資本/総資本(×100)

 

問31

 損益分岐点=固定費/(1-変動比率)

 変動比率=変動費/売上高

 

2009年3月31日

システム監査技術者試験 -午後対策-

 午後Ⅱについてはこちらが参考になる。

午後2論述式試験の基本は、問題文から解答構成を作成し、具体事例で肉付けすることです。解答の構成が問題の意図に合っていなければ、不正解となってしまいます。

部分引用と思ったのですが、あまりによくまとめられていたので全文を引用させていただきました。

・リスクコントロール方法
 企業内にリスク管理基準があることとする。リスク管理基準は、リスク識別リスク評価対策実施監視計画監視コントロールという一連の基準が設定されており、リスク管理の準拠性について監査するということにする。リスク管理基準は実務上なかったとしても、あることにしたほうが書きやすいことが多い。

・リスクの範囲
 システムが社内のみでなく社外とも連携していることにする。それによりリスクをより広範囲で考慮しているかを監査ポイントとすることができる。

・企画の監査におけるポイント
 経営戦略との整合性に関するポイントは、テーマがアウトソーシングやパッケージ導入などと異なっても、必ず入れる。
 適切な利用者・開発者・技術者といった関係者で企画がレビューされているかを確認する。実現可能性の観点でも担保されているかを確認する。
 責任者が承認してるかを確認する。
 企画の策定方針があるものとし、準拠性を確認する。
 要員のスキルが考慮されているかを確認する。

・監査人の能力を補って監査の品質を上げる方法
 専門家部隊を用意すること。ネットワーク技術者やセキュリティ専門家を監査の支援部隊に組み入れる。監査調書を監査責任者とレビューする。
 利用部門および関連部門すべてと、場合によっては社外システム連携先ともインタビューを行う。利用部門責任者ともインタビューを行う。
 外部監査等の他の監査結果を参考にし、監査計画・監査手続書を策定する。

監査人の育成計画
 年度計画に入れる。

次回監査に活用する。
 監査手続書は次回も活かす。工数も記録する。

・システムライフサイクルと監査タイミング
 企画段階、設計段階、システムテスト段階、運用テスト段階で監査を実施する。観点は目的との整合性が最も優先順位が高い。

・システム化、アウトソーシング化により発生するリスク
 業務システム連携によるコントロール低下承認機能の低下等が発生する。監査のポイントとしては、職務権限リスク管理基準設計方針といったルールが存在することとし、準拠性の観点で監査することが書きやすい。

リスク管理基準、コントロール、経営戦略との整合性、承認機能、職務権限、準拠性、このあたりは「記憶すべき」単語。

 なお、システム監査においては、リスクとリスクへの対応が重要です。よって、準備するシステム事例は、他社と連携してるユーザが代理店一斉移行するといったリスクが見えるものを用意するのはいいです。

さらにこちらも引用

監査そのものに関しては、システム監査の手順の基本はまず覚えてしまう必要があります。中長期計画、年度計画、基本計画、個別計画、予備調査、本調査、監査手続書、監査調書、監査報告書、改善勧告といった一連の手順を誤りなく知っている必要があります。

 

■■■

 

さらに午後Ⅰに関しての記述

 システム監査は、リスクの認識とそれに対するコントロールがなされているか、という観点が主眼となります。よって、情報システム運営におけるリスクとなるものリスクになりそうだがリスクとして認識されていないものリスクは認識されているがコントロールされていないものが、システム監査人としての指摘事項になります。

 指摘事項そのものは、問題文に必ず仕掛けてあります。訓練により過去問を20問以上やれば、指摘事項が分かるようになります。設問を読まなくても、問題文に怪しいと思われる点、設問になりそうな点が明確にわかります。気をつけなければいけないのは、たまに明らかに問題と思われる点があっても、設問に問われないことがあることです。この点の取捨選択はやはり訓練により分かってくるでしょう。

20問...ということは過去問5年分なので、ちょっと足りないかもしれない。

続いて、午後Ⅰの頻出ポイント

 1.システム企画・アプリケーション・データ
ファイルアクセスに関して権限が設定されていること。
更新ログにて定期的にチェックされていること。
設計書レビューテストレビュー責任者によって行われてること。
・システム企画が経営戦略と整合性がとられていること。
データ連携することにより発生するコントロール低下への対応がなされているか。
・運用コスト削減の対価として、信頼性・安全性・サービスレベルの低下を検討してるか。

2.セキュリティ
・利用者と管理者の職務分離が行われていること。
人事異動・退職時アクセス権限が更新されていること。
共用ID・パスワードは不正利用時に原因を特定できないリスクがある。

3.監査基準・報告書・手続き・行動規範
・監査報告書では、システム監査人自身が事実に基づいて報告すること。
・システム監査基準がない場合は、慣用的に行われるコントロールやシステム監査人がリスクが高いと思われるものを監査項目とする。
・統制リスクの大小に応じて、発見リスクを小さくできる監査手続きを行うこと。
内部の脅威を含めて監査対象を決定すること。

このサイトの管理人さんはまとめるのが上手です。参考になりすぎてたくさん引用してしまいました。(怒られそうだけど。)すみませんが情報を活用させていただきます!

ありがとうございます。

 

■■■

 

こちらのサイト「システム監査技術者に楽々合格」も良くまとまっています。

まとめ:論文攻略の3つのポイント より

心配する必要はない。「問題点は一つ。解決策も1つ」でも絶対に受かる。現にたくさんの人が合格証を手に入れている。

これは、すごい発見!

Q:文字数はどれだけかけばいいですか?

A:結論からいうと、2400文字+1行(原稿用紙たったの6枚)です。

上記2つのポイントはすごく力強い後押し。特に文字数は3200文字(8枚)との思い込みがあったので、6枚なら何とかなるかも?と思えたのはすごいことです。

これもすごいなぁ。なんでしょう、このサイト??プロの方ですね。

Q:文字数の配分を教えてください

A:2400だと、答案用紙3枚+1枚(1行分)になります。(図も参考)

文字数配分.jpg

 回答はほとんどが問題文の抜き出しでいいんですか?

問題文を忠実に活用しましょう ②

実際には、これでは文字数が足らないので、アコちゃんの経験を踏まえて付け加えてください。また、施策や指導内容は、3つも書く必要がないので、1つか2つに絞った上で深掘りするほうがよいでしょう。

大切なことは、「問題文を抜き出す」ことではなく、「問題文(問われていること)に即して書く」ということです。その結果、問題文を活用することが多くなったということです。

 そして、以下監査論文の特徴だそうです。

監査論文ならではの特徴をいくつか書きます。

1.ウが重要
監査以外の論文では、イまでが重要です。私の意見として、ウは定型文を書いても合格できると言ってきました。
しかし、監査は違います。監査はウにおいて具体的な監査手続きを書きます。ここが最も重要になります。

2.字数のバランス
ア 800字
イ 900字
ウ 700字
これくらいでいいと思います。

3.文章の書き方
監査はある程度の網羅性を意識して描く必要があります。(意識する程度で十分です)
今回のケースでは、○○基準(またはガイドライン)に従い、次の点を確認した。
・~しているか
・~しているか
・~しているか
・~しているか

  

■■■

 

さいごにこちら。よく読んでおいたほうがいい。⇒自分

情報処理技術者試験区分の詳細として、JITECから以下の発表がある。
とても重要なので、必ず読みましょう。

http://www.jitec.jp/1_13download/guidebook_pdf/guide_200702_17_au.pdf
 

2009年3月29日

試験日が近づいてきた... -システム監査技術者-


まだ午後Ⅱの準備論文一度も書いてない。
ブログばっかり書いてる暇があったら勉強しろ!→自分。

開発とか運用とかをずっとやってきたからだろうか、午後Ⅰの過去問の回答は何度読んでも意味が理解できなかった。昨年などまったくの意味不明状態だったのは先日も書いたとおり。

承認とか申請書とログの照合とかが試験問題になる理由自体が理解できない。なぜなら現場ではそういうめんどくさいのを一番嫌うからだ。それはほとんど誰も疑わない。そんな暇があったら新しいシステムにリプレースするための情報収集しなきゃ、っていうのが今までの思考。口語的に言えば、

「うるさいなぁ、いちいち申請書だの承認だのって、こちとら役所じゃねーぞ。」

今年もつい最近までそんな感覚だったから「第三者的視点」という視点がどうしても理解不能だった。しかし頭の中の意識を変えることで、やっと問題と回答が頭に入ってくるようになった。その第三者としての監査人が開発や運用に対する指摘事項を指摘する感覚が本当に大切なんだとやっと分かった。


悲しいかな、使用人的体質であったことを試験勉強で実感してしまった。...orz


今はまだ午後Ⅰの過去問ノートを作ったものを何度も読み返している。

試験は4月19日(日)

午後Ⅱの準備論文は二つは用意するつもり。ともかくやろう。

 

■■■

【追記メモ】
問題を読むとき、システム管理基準を読むときに、意識しておくべき重要な視点がある。


その業務は安全性・有効性・効率性が考慮されているか。
その業務は情報の信頼性が保たれることが考慮されているか。
その業務は法令・契約・内部規定に準拠しているか。


問題文中の承認フローに要注意する。客観的に見てあら捜しをする感覚で。

 

2009年3月 2日

大企業と個人のIT利用と投資について考えてみた

企業内ITの利用用途は、バックオフィス業務の効率化を目的としたERPが主だ。扱うのは会計・販売・在庫・購買・生産・人事・給与などの基幹業務である。扱うデータの性質上セキュリティを堅牢にして万全の体制を築く必要があるため膨大な投資がされている。維持費用単位は億。

一方でメール、WEBなど通信関連の維持費用は圧倒的に低い割合にとどまる。特にここ数年で劇的に低下した。おそらく個人利用の通信費用が低下したためそれに引っ張られているのが原因だろう。維持費用単位は一桁下がって千万。


さて私的なIT利用だが、今やWEB閲覧による情報収集だけにとどまらず、書籍・子供用品・家電全般・食料品・酒などの購入、光熱費・通信費・自動車保険・生命保険の各種支払いのカード利用履歴確認、銀行振り込み、残高確認...など幅広く利用している。

しかし一方でリアル店舗での利用は、ホームセンターの日用雑貨、スーパーの食料品、近所のラーメン屋、ガソリンスタンドで給油くらいか。しかもリアル店舗には毎週末行くともかぎらない。

IT環境維持にかかる費用だが、月々の固定費用は1万円程度の通信費用くらい。5万円PCがでてくるなどハードは劇的に安くなっているし、それも数年に一度の出費だ。


そこで、企業と私的利用でIT利用用途の路線がはっきり分かれてきたのがわかる。データの取り扱いについての感覚だ。

企業はおそらく基幹業務データを外に置くことはできない。つまり今後もデータを内にかかえるためだけに膨大な資金を投入しなければならない。同時にそれを守るためのセキュリティ対策にも膨大な資金投入がされている。サーバ設備維持や運用のための人件費や保守費だ。正直担当としては無駄金食いだとバカバカしく感じている。しかしそれをしなければならないのは、企業が所有する情報資産(個人情報、知財、営業秘密などのデータはもちろん、ハードの信頼性他、ITにかかわるあらゆるもの)の信頼性を求められているからである。

そこで思うのはいったい誰がその信頼性を求めているのか、だ。

その前に、データ保全の必要性をあるサイクルに示すとこうなる。
 情報漏洩・情報システムの不具合
 ⇒親会社のブランド失墜(マスコミによる攻撃が主)
 ⇒売上減少
 ⇒対外的評価減による株主の利益損失
 ⇒株主による役員追求...従業員の士気低下...品質低下...売上減少...

つまりデータの信頼性低下で不利益を被るのは、マスコミ(顧客)にさらされる大企業だけなのだ。だから信頼性維持を求めるのは大企業自身だ。

もう一度「なぜデータを外に置けないか」ということを考えてみるのだが、理由は「預け先の信頼度」と「費用」の問題だろう。

費用はだいぶ下がってきているようだし、利用者が増えればもっと下がるだろうと思う。預け先の信頼度についてだが、もともと自前でのデータ維持の信頼性が高いとは実際には言えない。なぜならわが社だってサーバの管理者権限のIDパスワード管理も、書類上だけの話で実際にはそんなに厳密じゃない...(やばっ!)。大企業の元従業員が情報流出させたり、退職した元従業員が持ち出したIDパスワードを悪用する犯罪など、枚挙にいとまがない。まして静岡は自然災害のリスクが高い(らしい=富士山噴火?)。

その考えで行けば、今後はSaaSを検討することは現実的となるだろう。(データを預ける費用、データを維持する費用、情報漏洩で被る被害額。ここら辺をきちっと費用試算するのが今後の私の飯のタネかな...。)


一方、私的ユーザとしての私の個人情報を含むデータ保護の意識は薄い。それほど気にせずWEBのカード決済で買い物しちゃう。WEBサービスは移動にかかる時間と費用を大幅に削減してくれるからだ。本好きの私がわざわざ東京に本を買いに行くこともほとんど無くなった。海外サイトでの買い物もできる。もし利用中のWEBサービスが全部止まったら恐ろしく不便になるだろう。この点で言えば我が家のネット環境は完全にインフラとなった。

個人情報の維持管理は販売元サイト(Amazonや7アンドワイや楽天など)を信頼するだけなので無料だ。個人的なデータ維持費用も安いもの。せいぜいデジカメデータのバックアップ用HDDくらい。そのHDD自体も昔壊れたPCのHDDを引っこ抜いて、USB接続できるカバーを3,000円くらいで買ってきてつけたものだ。

 

シス監の試験勉強をしていて感じることがある。企業は財務データの信頼性、業務の効率性、法令順守など要求を受けるのだが、この実現のために大変な金銭的負担となっている。まして会計監査の費用も異常高騰しているとも聞いている。この負担のためにどれだけの利益が圧迫されているか。われわれ従業員(派遣社員も含め)ががんばって稼いだ利益がこんなことに消えていくなんて正直残念すぎる。

稼いだお金は従業員や地域に還元するのが理想の社会だし、それが企業が社会に求められていることのはずだ。自社の従業員にも地域にも還元されず、東京のITベンダと監査会社が儲かるだけの仕組みに金を払うしくみはおかしいのだ。今不況のおかげで暇な時期に、どうすれば無駄なIT投資をせずに済むのか真剣に考えるべきだ。


今後、負のIT投資をしなければならない大企業はますます苦しみが深まり、逆に個人や中小企業が高度化したITの利点をますます享受できる時代となるだろうと思う。ドラッカーやトフラーの予想する未来がようやく日本でも現実化する。

変わらないことなど何も無い。つまり無常。変わることを恐れてはいけないのだ。

 

ランキングに参加しています。よろしければクリック↓お願いします。

にほんブログ村 地域生活(都道府県)ブログ 静岡情報へ
にほんブログ村

2009年2月26日

一時帰休 -今度は自分の番-

とうとう来たな、と言う感じ。実質従業員の給与カットなわけだが、派遣雇い止めの件もそうだけど、まずは役員報酬カットと管理職給与カットのほうが先だと思うんだけど。

「貿易赤字、過去最大9526億円=輸出は45%減、6年ぶり低水準-1月」という記事にも、工場が停止状態のわが社を見れば別に驚きも感じない。しかし、最近の自分のエントリを見てるとなんだか本当につまんない書き込みばかりしてるけど、仲間が簡単にクビになる状態じゃぁしょうがないかな、と自己弁護してみる。

しかし長い目で見りゃ、反面これでいいんじゃない?とも思う。ドラッカーもトフラーも言っているけど、工業製品輸出の日本としての役目はもう終わりでしょう。ここ数年の景気回復は結局外需依存だったわけで、その間構造改革も進まず(むしろ構造改悪)内需もぜんぜん復活しなかった。でもこれだけ輸出が徹底的にだめで、アメリカの消費だって回復する見込みもなきゃ、いよいよ構造改革と内需復活しか景気回復の方法は無いのだから。

さて、本腰入れて副業の準備でもしますか...。


ところでシス監の試験勉強だが、2年目にしてやっとこの資格が業務系中心のシステム監査資格なんだとわかった。もともとが会計監査の補助的に会計システム監査をおこなうのが趣旨だというのをどこかで見聞きしたことがあったが、当時はふーんと聞き流していた。つまり業務系がなんだったかもよく知らなかったのだ。専門はインフラ・通信系もしくは画像処理などが専門のソフトウェア開発だったわけだから、シス監ってまったくの畑違いなんだなぁと今更ながら。

IT系の資格は、業務に携わったのちに資格取得により体系的な知識を確認するのが本来の趣旨であるとは思うが、今後興味がある分野を先取りして勉強していると言う意味で今回の受験は悪くない。

しかし、情報処理技術者試験の午後問題を読んでていつも思うのだけど、なんであんなに読みにくい文章なのかなぁ。業務文書だったら即ゴミ箱行きなんだけどね。できの悪いやつの報告書を添削して要点を抽出するつもりでやってる。

「で、結局これがいいたいわけだよね?」と。

 

ランキングに参加しています。よろしければクリック↓お願いします。

にほんブログ村 地域生活(都道府県)ブログ 静岡情報へ
にほんブログ村

2009年2月21日

システム監査技術者試験を受験する

今年もシステム監査技術者試験を受験する。

去年も受験したのだが、準備の仕方さえ分からずとりあえず受験してみたようなもの。前日に準備論文を作るも読み返してみて支離滅裂。エンピツで紙に書く練習をしたことが無かったため、本番は何を書いたかも覚えておらず、腱鞘炎に耐えギリギリまでエンピツを動かしていたような記憶があるから文章を閉じることさえもできなかった。当然不合格。午後I試験も合格点には一歩とどかず、システム監査というもの自体を理解せずに受験した結果がそのまま出た形となった。

「システム監査基準」「システム管理基準」を理解しなきゃならないことも知らなかったので、去年は酷いもんだった。今年は読んでから試験に望めるので、午後Ⅱの採点してもらえるレベルまでいければいいと思っている。3年計画の2年目だからあわよくば、までで十分。

合格するためには論文を書けなければならない。3000文字程度の論文を2時間で書く練習が必要だ。いくつか再現論文を読ませてもらったけれど、こんな文章をほんとに2時間で書けるのかしら?と感心してしまう。よほど監査人的思考が染み込んでいるのだろうな、と思う。

「監査人的思考」つまり第3者視点であり、これが肝だと思う。「問題点を発見・指摘して改善を求めた。」という視点。監査人は自分で改善してはいけないのだ。


ところで、よくまとまっているリンク集を発見。もう少しこのリンク集のサイトに出会っていたらなぁ。
http://not-passenger.jugem.jp/?cid=1

さて、先日申し込み期限ギリギリで申し込んで試験も2ヶ月前となり、まだこんなことを書いている状態だけど、何から手をつけようか。

  1. 午後Ⅰ対策:過去問ノートを作ってその繰り返し。
  2. 午後Ⅱ対策:再現論文の書き写し、準備論文、2時間で原稿用紙に書く練習(文章構成⇒実際に書く)

ランキングに参加しています。よろしければクリック↓お願いします。

にほんブログ村 地域生活(都道府県)ブログ 静岡情報へ
にほんブログ村