運用・保守・BCP・外部委託監査重要度:★★★出題: AM2・PM1・PM2

外部委託管理・クラウドサービス利用の監査

がいぶいたくかんりくらうどさーびすりようのかんさ / Outsourcing and Cloud Service Utilization Audit

情報システムの運用や基盤を外部ベンダやクラウドサービス（SaaS/PaaS/IaaS）に委託・利用する際、選定審査、契約（SLA・監査権・再委託条件）、責任分界点、および運用モニタリングを検証する監査です。

3行速習ポイント

情報システムの運用や基盤を外部ベンダやクラウドサービス（SaaS/PaaS/IaaS）に委託・利用する際、選定審査、契約（SLA・監査権・再委託条件）、責任分界点、および運用モニタリングを検証する監査です。
業務やシステムを外部に出しても、最終的な説明責任と内部統制の責任は委託元（自社）に残るという大原則に基づきます。
試験対策：午後I（令和6年問2、令和5年問2、令和4年問3、平成29年問2）・午後II（令和5年問2、令和3年問2）で極めて高い頻度で出題されています。

図解

図クラウド・外部委託監査における3段階のガバナンス構造階層・レイヤ構造

選定・契約審査から責任分界点に基づく設定管理・継続的モニタリングまで

運用監視・終了

第3層：継続的モニタリングと契約終了・移行統制

SLA達成状況・SOC報告書レビュー・解約時のデータ完全消去確認

月次の月間稼働率・インシデント報告のレビュー、第三者保証報告書（SOC1/SOC2）の査閲、および契約終了時のデータ返却・消去証明書入手を検証する。

⇅ レイヤ間連携・制御境界

責任分界の実装

第2層：責任分界点（Shared Responsibility）に基づく役割実装

クラウド事業者責任範囲と利用者（自社）責任範囲の明確化

IaaS/PaaS/SaaSの形態に応じ、自社が責任を持つ領域（ID管理、アクセス制御、データ暗号化、コンテナ構成、パッチ適用等）の手順と実施記録を確認する。

⇅ レイヤ間連携・制御境界

選定・契約基盤

第1層：サービス選定審査と契約条件（SLA・監査権・再委託）

導入前のリスク評価と契約書・利用規約における権利義務の担保

情報セキュリティ基準に照らした選定評価記録、取扱データの機密性分類、障害通知義務、再委託先の管理条件、監査権が契約に盛り込まれているか確認する。

💡 午後I令和6年問2（PaaS上のコンテナ環境監査）のように、IaaS/PaaS/SaaSのどのモデルかによって「自社が管理・監査すべき範囲」が変わる点に着目します。

概要と本質

情報システムの運用や基盤を外部ベンダやクラウドサービス（SaaS/PaaS/IaaS）に委託・利用する際、選定審査、契約（SLA・監査権・再委託条件）、責任分界点、および運用モニタリングを検証する監査です。業務やシステムを外部に出しても、最終的な説明責任と内部統制の責任は委託元（自社）に残るという大原則に基づきます。

重要ポイント・コア概念

導入・契約時の統制：利用承認基準、データの所在・返却・完全消去条件、セキュリティ要件、サービスレベル合意（SLA）、監査権・報告義務、再委託承認条件の契約書確認
運用時の統制：クラウド事業者と利用企業間の責任分界点（Shared Responsibility）に基づく自社側設定管理、SLA達成状況の定期評価、および野良クラウド（シャドーIT）の検知
定量的効果・監査目標例：全クラウドサービスの責任分界点マトリクス策定と年次SLA・SOC報告書レビューを義務化し、設定責務の認識齟齬によるセキュリティ事故を0件に抑制