平成24年度春期 システム監査技術者 午後Ⅰ 問1

問1　パブリッククラウドサービスを利用したシステムの監査に関する次の記述を読んで， 設問1～4に答えよ。 M社は，中規模の金融機関である。M社の情報システムは，メインフレームシステムとサーバシステムに大別され，メインフレームシステムはベンダ保有のデータセンタで稼働し，サーバシステムは自社保有のデータセンタで稼働している。バックアップセンタは，各データセンタに対応させて遠隔地に設置されている。バックアップセンタにはシステム開発環境があり，バックアップデータも保管されている。 M社では，自社保有のデータセンタ及びバックアップセンタの規模縮小に向けたシステム移行が予定されていることから，内部監査部で企画段階におけるシステム監査を実施することになった。 〔パブリッククラウドサービス利用の検討経緯〕 M社の経営戦略会議において，自社保有のデータセンタ及びバックアップセンタの規模を段階的に縮小し，最終的には自社保有のデータセンタ及びバックアップセンタを基幹システムの運用に限定する方針が打ち出された。第一段階として，サーバシステム上で稼働する社内向けシステムの一部について，パブリッククラウドサービスの一形態であるSaaSを利用することが決定された。 この決定を受けて，システム企画部及び社内向けシステムのオーナ各部の代表で構成されるパブリッククラウド移行プロジェクト（以下，移行プロジェクトという）が立ち上げられた。移行プロジェクトでは，システムの運用管理に関する業務負荷とコストの最適化，及びシステム資源利用の柔軟性向上を目指して検討を進めている。移行プロジェクトは，週に1回，移行プロジェクト会議を開き，会議での検討内容及び決定事項を記載した議事録を作成して，関係者に回付している。 〔パブリッククラウドサービス利用に関する検討内容及び検討結果〕 初めに，移行プロジェクトは，社内で利用している各情報システムが提供する機能の汎用性，及びSaaSを利用した場合の業務への影響度の観点から，パブリッククラウドサービス利用の候補となる情報システムを調査した。調査の結果，現在，個別に稼働している電子メール，電子掲示板，文書共有及び会議室予約の各情報システムが，候補として挙げられた。 次に，これらの全ての機能をもったグループウェアをSaaSとして提供するクラウドサービスプロバイダ（以下，CSPという）について調査した。調査の結果，A社，B社及びC社を選定し，表1に示す観点から検討を行った。 表1　パブリッククラウドサービス利用に関する検討項目及び検討内容 表2はCSPに関する評価項目及び評価結果である。移行プロジェクトは，C社が提供するSaaSがM社の要求仕様に最も適していると評価した。また，移行プロジェクトでは，パブリッククラウドサービス利用に関する検討結果を，表1及び表2を含めて“クラウド移行検討報告書”（以下，検討報告書という）にまとめた。 表2　CSPに関する評価項目及び評価結果 〔システム監査の実施〕 内部監査部長は，検討報告書の作成を受けて，移行プロジェクトが行った検討内容の妥当性を監査することにし，その担当としてシステム監査人2名を任命した。システム監査人は，検討報告書，議事録などを入手して閲覧するとともに，関係者にインタビューを行い，監査結果を次のように整理した。 （1）表1の項番9の検討内容について，CSPのサービス停止時におけるM社への影響を最小限に抑えるには，これだけでは不十分である。CSPの事業撤退，倒産などによるサービス停止を想定した検討を含める必要がある。 （2）B社のパフォーマンスに関する評価結果について，表2の項番3の内容だけで“要求仕様を満たしていない”と評価している。しかし，追加可能なシステム資源の上限を評価するには，これだけでは不十分である。 （3）表2の項番4の評価結果について，各CSPが定めている稼働率を検証したところ，稼働率の算出項目及び稼働率算出の対象期間が各CSPで異なっていた。検討報告書には，これらの分析方法に関する記載がない。また，関係者へのインタビューにおいても明確な回答を得られなかった。これらの点から，可用性の評価結果は妥当性に欠けているのではないかという懸念がある。 （4）B社について，機密保護及び個人情報保護の評価結果は，表2の項番6でコストの観点から要求仕様を満たさないとしている。しかし，B社のSaaSを利用することによる総合的なコストメリットを考慮に入れた検討が不十分で，評価結果が誤っている可能性がある。 設問1　〔システム監査の実施〕（1）について，（1），（2）に答えよ。 （1）システム監査人が必要と考えた“CSPの事業撤退，倒産などによるサービス停止を想定した検討”とは，どのような内容か。M社の資産保全の観点から，35字以内で述べよ。 （2）CSPの事業継続性について，M社がSaaS利用開始後に定期的に確認すべき事項は何か。万一の場合における他CSPへの乗換えも含めた観点から，45字以内で述べよ。 設問2　〔システム監査の実施〕（2）について，システム監査人は，“追加可能なシステム資源の上限を評価する”際に，他にどのような観点からの評価が必要だと考えたか。15字以内で述べよ。 設問3　〔システム監査の実施〕（3）について，（1），（2）に答えよ。 （1）システム監査人が評価結果の妥当性に関して懸念をもった理由を，30字以内で述べよ。 （2）評価結果が妥当でなかった場合に生じると考えられる影響を一つ挙げ，30字以内で述べよ。 設問4　〔システム監査の実施〕（4）について，システム監査人が不十分と考えた“総合的なコストメリットを考慮に入れた検討”とは，どのような内容か。比較対象と考えられる二つの項目を含め，50字以内で述べよ。