平成21年度春期 システム監査技術者 午後Ⅱ 問1

シンクライアント監査の着眼点

シンクライアント導入の目的や期待効果を起点に、集中管理・通信・利用環境など固有の論点を整理し、リスクと対策の対応関係を監査の視点から検討し、実務上の確認の軸を明確にする。

この問題で問われていること

組織の導入目的に照らして、想定したリスクがどの場面で生じ、対策が実際に機能しているかを、証拠・運用・例外時の扱いまで一貫して確認する観点に絞り、設問間のつながりも意識する。

視点

導入目的と期待効果を基準に、データの所在、利用時の依存関係、通信や勤務形態に伴う影響を整理し、それぞれのリスクに対応する管理策が設計・運用・監視の各段階で確認できるかを考える。具体的な結論ではなく、主張を裏付ける記録や関係者の役割、通常時と例外時の差に注目する。

確認ポイント

• 導入目的と期待効果が、監査対象や評価基準と結び付いているか確認する。
• データ保管、通信、利用場所や勤務形態の変化を、発生場面ごとに整理する。
• 対策の存在だけでなく、運用記録や例外時の対応を確かめる視点を置く。

解説

本問は、シンクライアント導入の目的と効果、環境特有のリスク、リスク低減を確認する監査手続を、同一の組織事例に基づいて一貫して論述する問題です。

問題の全体像

問題文は、ノートPCの紛失・盗難による情報流出を背景に、シンクライアントでは利用者データをサーバ上で集中管理する状況を示している。一方で、データの保管、通信負荷、勤務形態などには固有のリスクがあると述べている。したがって、設問アでは導入目的と期待効果、設問イではその事例に即した具体的なリスク、設問ウでは対策が十分に機能しているかを確かめる監査手続を、相互に矛盾しない形で記述することが重要です。公式解答例の出題趣旨では、情報漏えい防止だけでなく、勤務形態の多様化、事業継続管理、消費電力削減による二酸化炭素排出量削減などの効果にも触れ、技術的知識を踏まえて業務への効果、リスク、監査能力を評価すると説明されている。

設問ア

まず、関係する組織の業務、利用者、端末の利用場所などを設定し、その組織がなぜシンクライアントを導入するのかを明確にする。問題文の情報漏えい防止を中心に置きつつ、公式解答例の出題趣旨に示された勤務形態の多様化、事業継続管理、消費電力削減などから、事例に適合する目的を選ぶ。効果は単に『安全になる』とせず、端末紛失時のデータ流出抑止、サーバでの一元管理、在宅勤務や拠点移動への対応など、目的との対応関係を示します。800字以内なので、組織の前提、導入目的、期待効果を絞り、以後の設問イ・ウで扱うリスクや対策につながる設定にする。公式解答例に示されていない個別組織の設定を正答と断定するのではなく、自分の経験や想定に基づく一貫した事例として記述する。

設問イ

設問アで設定した目的や利用形態を前提に、シンクライアント環境で何が起こり得るかを具体化する。問題文が示すデータの保管、通信負荷、勤務形態という観点を軸に、例えばサーバや記憶装置へのデータ集中による障害・不正アクセス時の影響、通信回線の障害や混雑による業務停止、遠隔勤務や端末の利用場所が広がることによる認証・端末管理上の問題などを、業務影響まで含めて述べる。リスクを列挙するだけでなく、発生原因、影響を受ける業務や情報、従来環境との違いを示すと具体性が出る。700字以上1、400字以内なので、設問アで挙げた効果を損なうリスクを優先し、各リスクを『原因・事象・影響』の単位で整理する。出題趣旨が求める技術的知識と業務への理解が伝わるようにする。

設問ウ

設問イで挙げた各リスクに対し、想定した対策が実施され、実際にリスクを十分低減しているかを確かめる監査手続を書く。手続は、規程・設計書・運用記録などの文書閲覧、管理者や利用者への質問、設定値やアクセス権の確認、障害・バックアップ・復旧訓練などの記録確認、必要に応じたサンプルによる運用実施状況の検証というように、監査証拠と確認方法を具体化する。さらに、サーバ障害や通信断、遠隔利用、不正アクセスなどの想定リスクごとに、どの対策をどの基準で評価し、結果を業務影響や許容水準と比較して十分性を判断するかを示します。700字以上1、400字以内で、設問イのリスクと一対一に対応させ、単なる『確認する』ではなく、誰が、何を、どの資料・記録・テストで確かめるかまで書く。公式解答例の出題趣旨にある、リスクを理解した上で監査を実施する能力が伝わる構成にする。

学習のポイント

効果・リスク・監査手続を対応付け、技術面だけでなく業務や勤務形態への影響も具体化する。