平成21年度春期 システム監査技術者 午後Ⅱ 問2

ログの選定を考える基本視点

ログを扱う問題では、監査の目的と確認したい事実を起点に、対象・範囲・時点・入手経路・保全状態・利用場面が互いに整合しているかを順に整理すると、個別の用語や表現に引きずられにくくなります。

この問題で問われていること

この問題では、ログそのものの細かな性質を暗記するより、監査で確かめたい事実に対して、どの情報がどの場面で必要になるかという対応関係を一つの軸として読み取りましょう。

視点

監査証拠を考えるときは、まず確認目的を言語化し、その目的に照らして情報の対象範囲、取得時点、入手経路、改変への配慮、分析後の利用者を整理します。各要素は単独で評価せず、目的とのつながりと説明可能性を確認するのが基本です。

確認ポイント

• 監査で確かめたい事実を一文で置けているか
• 必要な情報の対象範囲と確認時点が目的に対応しているか
• 入手から利用までの経緯を第三者に説明できる形で整理できているか

解説

本問は、情報システムの運用監査を想定し、監査目的に合うログを選定して適切に入手・分析する能力を問う。設問アからウまで、対象システム、ログ、監査証拠、手続を一貫させて論述することが重要です。

問題の全体像

業務システムへの依存度が高まり、マスタデータやトランザクションデータが増加し、アクセス権限も複雑になっている状況が前提です。ログを活用すれば、システム運用やデータアクセスの状況を効率よく確認でき、コントロールの有効性評価、障害や情報漏えいの原因究明、不正アクセスや不適切な変更の検証に役立つ。一方、監査目的に合わないログを選んだり、入手方法が不適切だったりすると、誤った監査結果につながる。提示された公式資料の出題趣旨では、監査目的に照らして適切な種類・対象期間のログを選定し、入手・分析する知識と能力を評価すると説明されている。したがって、設問アで前提となるシステムと目的を明確にし、設問イで必要なログと証拠化の留意点を示し、設問ウでメリットと具体的な監査手続を結び付ける構成が必要です。

設問ア

まず、自分が携わった情報システムを一つ具体的に設定し、業務上の役割、利用者、主要なデータ、運用体制などを簡潔に示す。そのうえで、運用に関する監査目的を、例えばアクセス権限どおりに操作されているか、プログラム変更が承認どおりに行われているか、バックアップや障害対応が適切か、といった検証可能な形で定める。ログを含むシステム環境として、OS、データベース、ネットワーク、アプリケーション、認証基盤、運用担当者、ログの保管場所などを目的に関係する範囲で説明する。800字以内なので、システムの紹介を広げすぎず、監査目的と、後続設問で扱うログが存在する環境を対応付けて書くことが重要です。

設問イ

設問アの監査目的を達成するため、どのログを、どの対象期間について利用するかを具体化する。例えば、利用者認証ログ、特権IDの利用履歴、データベースへのアクセスログ、プログラムや設定の変更履歴、ジョブ実行記録、ネットワーク接続記録、トランザクションログなどから、監査目的に直接結び付くものを選ぶ。単にログ名を列挙せず、各ログで何を確認するのかを示します。監査証拠とする際は、必要な期間と範囲の網羅性、記録項目の十分性、時刻の整合性、改ざんや削除を防ぐ保管、ログ生成機能の有効性、保存期間、アクセス制限を確認する。また、監査人が直接取得するのか、管理者から提供を受けるのか、原本性を保ったまま複製・保管するのかなど、入手経路と取得記録も明確にする。提示された出題趣旨が重視する「適切な種類や対象期間のログの選定」と「入手・分析」を、具体的なシステム状況に落とし込むことが評価の中心となる。

設問ウ

設問イで選んだログを利用するメリットと、その監査手続を一体で述べる。メリットとして、一定期間の大量のアクセスや処理を短時間で網羅的に確認できること、担当者への質問やサンプル確認だけでは把握しにくい異常操作を発見できること、操作の時系列を再現して原因究明を行えること、継続的な監視やコントロール評価に利用できることなどを、設問アの監査目的に対応させる。監査手続は、ログの取得範囲と完全性を確認し、利用者・日時・操作内容・対象データなどの項目を分析し、権限台帳、変更申請、作業記録、承認記録、障害票、取引データなどと突合する流れで具体化する。異常や例外を抽出した後は、関係者への質問、原資料の確認、追加ログとの照合によって事実を確かめ、影響を評価して結論と改善提案に反映する。ログ活用の速さだけでなく、ログだけで断定せず他の監査証拠と組み合わせる点まで書くと、実務的な手続になる。

学習のポイント

監査目的から必要なログと監査手続を具体化する力を身につける。