平成24年度春期 システム監査技術者 午前Ⅱ 問4

物理的対策を監査する視点

物理的な安全対策を監査するときは、設備の有無だけで判断せず、組織が定めた管理方針との対応、実際の運用状況、記録や証跡の整合性を順に確認することが重要ですといえます。

この問題で問われていること

この問題では、個別の対策名や細かな手順を覚えているかではなく、監査手続として何を対象に、どの証拠を用い、どの状態を確かめるかという確認の組み立て方に注目してください。

視点

監査では、要求事項と現場の状態を対応づけ、観察・記録・担当者への確認など、得られた証拠が結論を支えられるかを考えます。対策の存在、継続的な運用、例外時の扱いを混同せず、確認対象の範囲と証拠の信頼性を整理しましょう。

確認ポイント

• 確認対象が、定められた管理内容と実際の運用のどちらに関係するか
• 判断を支える証拠が、観察・記録・聞き取りのどれに当たるか
• 確認範囲や時点が偏っておらず、継続性を評価できるか

正解

ア

解説

物理的セキュリティ対策の妥当性を確かめるには、ノート型PCの保管状況や施錠状態を現場で直接確認する監査手続が適切です。

理由

不在時のノート型PCを施錠されたキャビネットに保管することは、盗難や無断持出しを防ぐ物理的セキュリティ対策です。監査人がオフィスを視察して実際の保管状態を確認することで、管理策が設定どおり運用されているかを直接確かめられます。

比較

持出し許可の確認は管理ルール、教育計画や記録の確認は人的な教育、パスワード入力の確認は論理的アクセス制御に関する手続です。いずれも重要な管理活動ですが、ノート型PCに対する物理的セキュリティ対策を直接確認する手続とは異なります。

選択肢ア（正解）

これは正解だよ。不在者のノート型PCを施錠されたキャビネットに保管することは、盗難や無断持出しを防ぐ物理的セキュリティ対策に当たる。オフィス内を視察して実際の保管状態を確認するため、設定した管理策が現場で実施されているかを直接検証できる。

選択肢イ

これは不正解だよ。社外へ持ち出す際にセキュリティ管理者の許可を得るルールを確認する手続は、持出しに関する規程や承認手続の監査である。物理的な保管場所や施錠状態を直接確認するものではなく、設問が求める物理的対策の妥当性確認とは異なる。

選択肢ウ

これは不正解だよ。教育計画と教育記録を閲覧して社員教育の実施状況を確認する手続は、利用者への周知や教育に関する監査である。ノート型PCが実際にどこへ保管され、施錠されているかという物理的な管理状態を直接検証していない。

選択肢エ

これは不正解だよ。ノート型PCを操作してパスワード入力を要求する仕組みを確認する手続は、認証や論理的アクセス制御の監査である。利用開始時の制限は確認できるが、PCの盗難や無断持出しを防ぐ物理的な保管対策の確認にはならない。

学習のポイント

物理的管理策と、規程・教育・論理的管理策の監査方法を区別する。