クラウド・コンテナ・生成AI・アジャイル開発のシステム監査：近年頻出テーマの監査要点まとめ

従来のウォーターフォール型開発では「各工程完了時のドキュメント審査とゲート承認」が中心でしたが、近年の試験ではアジャイル開発（令和4年午後I問1、令和6年午後II問1）、DevOps（令和6年午後I問1）、ローコード・EUC・RPA（令和5年午後II問1、令和元年午後I問1）の監査が主役となっています。 これらの開発手法を監査する際、「ウォーターフォールと同じ分厚い設計書を作らせる」という指摘は不適切です。スピードと柔軟性という本来のメリットを損なわないよう、以下のような統制（コントロール）が機能しているかを検証します。 - アジャイル開発：プロダクトオーナー（利用部門）が受け入れ基準（完了の定義：DoD）とバックログ優先順位に責任を持って関与しているか、固定期間・予算の中でスコープ調整ルールが合意されているか。 - DevOps：開発者が本番環境へ直接アクセス・デプロイできることによる職務分離（SoD）の弱体化に対し、CI/CDパイプライン上での自動テスト通過必須化、リリース承認の自動化、および本番操作ログの第三者モニタリング（代替統制）が組み込まれているか。 - ローコード／RPA：事業部門が作成したアプリやロボットが「野良化（台帳未登録・作成者異動で保守不能・個人IDの埋め込み）」しないよう、全社台帳への登録、専用アカウントの付与、および連携先システムの仕様変更時の事前通知フローが確立されているか。

もう一つの頻出軸が、PaaS・コンテナ基盤（令和6年午後I問2、令和5年午後II問2）およびAI・データ利活用（令和7年午後I問1、令和7年午後II問1、令和3年午後I問1）です。 - クラウド・PaaS・コンテナ監査：最重要キーワードは「責任分界点（Shared Responsibility）」です。OSやハイパーバイザのパッチ適用をクラウド事業者が担うPaaSであっても、その上で動く「コンテナイメージ内のライブラリ脆弱性スキャン」「アクセス権限（IAM）設定」「シークレット（認証鍵）の保護」は利用企業自身の責任範囲であることを踏まえ、SOC2 Type2報告書の査閲と自社側設定の監査を組み合わせます。 - 生成AI・機械学習システムの監査：企画・PoC段階では「PoC計画書に目的・定量的な評価基準・終了基準が定義されているか」「追加学習後も再評価を行ってから本番移行を判断しているか（令和3年問1）」を確認します。さらに運用段階（令和7年午後II問1）では、「プロンプトへの機密情報・個人情報入力による外部学習流出の防止」「ハルシネーション（誤回答）を人間が検証するプロセス（Human-in-the-Loop）」「稼働後の精度劣化（ドリフト）監視」の3点を軸に論述を組み立てます。