平成26年度春期 システム監査技術者 午後Ⅰ 問3

問3　個人が所有するモバイル端末の業務利用の監査に関する次の記述を読んで、設問1～5に答えよ。 Z社は、中堅自動車メーカの販売子会社である。Z社では、社内LANに接続されたデスクトップPCを全従業員が使用しているが、近年のIT利用環境の変化を受けて、デスクトップPCに加え、スマートフォン、タブレット端末などのモバイル端末の業務利用を計画している。これに伴い、Z社システムへのリモートアクセスの仕組みを新たに構築する。また、全従業員の約半数に当たる営業職によるモバイル端末の効果的な活用を通じて、営業力の強化を図る計画である。 〔モバイル端末の業務利用に関するアンケート調査の実施〕 2月に経営企画部と情報システム部が共同で、全従業員を対象に、モバイル端末の業務利用に関するアンケート調査を電子メールで実施した。アンケート調査の目的は、Z社が貸与するモバイル端末の業務利用、又は個人が所有するモバイル端末の業務利用（以下、BYODという）の選択についての意向を把握することであった。 アンケート調査の項目は、図1のとおりであった。 図1 モバイル端末の業務利用に関するアンケート調査の項目 アンケートの回収率は80%であった。アンケート調査の結果から、回答者の85%がスマートフォン又はタブレット端末をもっていること、そのうちの90%がBYODを望んでいることが分かった。 〔BYOD導入の目的〕 Z社は、アンケート調査の結果を受けて、3月の経営会議で、Z社と従業員の双方にとってメリットが期待できるとして、BYODの導入を決定し、目的を次のように定めた。 (1) 使い慣れたモバイル端末でZ社システムを利用することによる業務生産性の向上 (2) 端末導入コストの低減及びモバイル端末の購入・修理に係る業務負荷の軽減 (3) 通信コストの低減及び利用プランの契約・見直しに係る業務負荷の軽減 また、BYODは従業員の任意であり、希望者は上長の承認を得た上で、モバイル端末のOSのバージョン確認など、所定の手続を経て開始できること、及びモバイル端末の購入・修理に係る費用と通信費用について、Z社が一部負担することも決定した。 なお、営業職など、職務上、モバイル端末の業務利用を必要とするがBYODを希望しない従業員に対しては、Z社がモバイル端末を貸与することにした。 〔BYOD導入プロジェクトチームによる検討結果〕 経営会議での決定を受け、BYOD導入プロジェクトチーム（以下、プロジェクトチームという）が組織された。経営企画部、情報システム部及び営業部から数名ずつプロジェクトチームのメンバが選任され、8月に予定されている実運用の開始に向けて、BYOD導入に当たっての対応事項及びその内容について検討を始めた。 プロジェクトチームは、週次でプロジェクト会議を開き、検討内容及び決定事項を議事録として記録している。また、5月の経営会議に提出する“BYOD導入検討報告書”（以下、報告書という）を作成するために、検討結果を表1のとおりまとめた。 表1 BYOD導入に当たっての対応事項及び内容（抜粋） 〔システム監査の実施〕 Z社の社長は、BYODを導入している企業がまだ少なく、プロジェクトチームが、BYOD導入に当たっての対応事項及びその内容を検討するのに必要な情報を十分に得られない可能性があることに懸念をもった。そこで、プロジェクトチームによる検討内容が妥当かどうかを第三者の立場から検証させるために、監査室長に監査の実施を命じた。 監査室長によって任命されたシステム監査人は、アンケート調査の結果、プロジェクト会議の議事録及び報告書を入手し、それらを閲覧するとともに、プロジェクトチームにインタビューして検証を行った。そして、監査調書に発見事項を次のように記録した。 (1) 表1の項番1について、モバイル端末に関する技術は、ハードウェア、ソフトウェアともに進歩が速いので、Z社が定めるバージョンよりも古いOSを搭載したモバイル端末の使用禁止に関する項目を、セキュリティポリシに追加すべきである。 (2) 表1の項番2の(5)について、リモートロックやリモートワイプは、MDMサーバがモバイル端末と通信できない場合には実行できないので、これだけではセキュリティ対策として十分とはいえない。モバイル端末内に保存されているデータを保護するための対策を検討する必要がある。 (3) 表1の項番3について、MDMツールの利用によって運用負荷の増加が抑えられる見込みであることから、現状のZ社運用要員の数は増やさないとしている。しかし、モバイル端末に係るセキュリティ事故発生時に備えた運用の必要性を考慮すると、運用コストが現状よりも増加する可能性がある。外部ベンダによるサービスの利用などを含め、再度検討すべきである。 (4) 表1の項番4について、BYOD導入後の従業員の満足度及びBYOD実施率についての効果測定項目が欠けている。モバイル端末の業務利用に関するアンケート調査の項目を考慮すると、従業員の満足度が低下し、BYOD実施率がアンケート調査の結果を下回る可能性がある。BYOD導入後の実態を把握するために、従業員のメリットに関するこれらの項目を効果測定項目に含めるべきである。 (5) プロジェクトチームが検討した対応事項の中に、ヘルプデスクの強化が含まれていない。モバイル端末の機種・OSの多様さによる、モバイル端末利用に関する問合せ件数の増加及び内容の多様化が考えられるので、ヘルプデスク業務の変化に応じた対策を検討する必要がある。 設問1　〔システム監査の実施〕の(1)について、システム監査人が挙げた、セキュリティポリシに追加すべき項目は、どのようなリスクを想定したものか。50字以内で具体的に述べよ。 設問2　〔システム監査の実施〕の(2)について、システム監査人が想定した対策を二つ挙げ、それぞれ30字以内で述べよ。 設問3　〔システム監査の実施〕の(3)について、システム監査人が“運用コストが現状よりも増加する可能性がある”と考えた理由を、運用におけるどのようなコストかを明確にして、45字以内で述べよ。 設問4　〔システム監査の実施〕の(4)について、システム監査人が“従業員の満足度が低下し、BYOD実施率がアンケート調査の結果を下回る可能性がある”と考えた理由を、50字以内で具体的に述べよ。 設問5　〔システム監査の実施〕の(5)について、システム監査人が想定した対策を二つ挙げ、それぞれ15字以内で述べよ。