平成26年度春期 システム監査技術者 午後Ⅱ 問1

監査観点を一つに絞る整理法

クラウド導入時のリスクと監査手続を考える際は、挙げられた管理上の論点について、何を確かめる手続なのかという対応関係に注目し、目的と証拠のつながりを丁寧に整理します。

この問題で問われていること

個別の仕組みや結論を覚えるのではなく、リスクとして想定した事象を抑えるために、監査で確認する対象・証拠・実施時点が一貫しているかを一つの軸で慎重に見比べてください。

視点

論点を読むときは、まず想定される影響を抽象的に捉え、その後で確認対象と証拠の関係を整理します。説明の細部より、リスクと手続の対応が崩れていないかを確認することが大切です。

確認ポイント

• 確認対象が、想定したリスクと直接つながっているか
• 監査手続で得る証拠が、確認対象を裏付ける内容か
• 手続の実施時点や範囲が、判断の前提と整合しているか

解説

本問は、パブリッククラウドの導入を題材に、対象業務とサービスの特徴を踏まえてリスクを識別し、その対策が適切かを監査手続で確認する力を問う。低価格・短期間導入という利点だけでなく、クラウド環境及びパブリッククラウドサービス特有の論点を一貫して述べることが重要です。

問題の全体像

事例は、組織がパブリッククラウドサービスを利用する情報システムを導入又は検討している状況です。パブリッククラウドは、共用資源やアプリケーションサービスをインターネット経由で提供し、低価格・短期間で導入できる。一方、複数データセンタの利用によるデータ所在の不明確さや、約款に基づく契約など、一般的なシステム導入とは異なるリスクがある。本問では、まず対象業務とサービスを具体化し、次にその特徴から生じるリスクを業務への影響とともに示し、最後に対策の有無・妥当性を確認する監査手続までつなげて論述する。公式の出題趣旨も、クラウド環境及びパブリッククラウドサービスの特徴を踏まえ、システム監査人として適切な監査を実施する能力を問うものとしている。採点講評では、問題文に記載された例だけを挙げる答案や、一般的なデータセンタ外部委託のリスク・監査手続に偏る答案が目立ったとされているため、設問の対象サービスと業務に即した具体性が必要です。

設問ア

ここでは、後続の設問イ・ウで分析できるように、対象業務、クラウドを利用する理由、サービス内容を一つの具体的な導入事例として設定する。対象業務は、何を処理し、誰が利用し、業務停止や情報漏えいが起きた場合にどのような影響があるかが分かる粒度で示す。利用理由は、低価格、短期間、拡張性、運用負担の軽減など、対象業務に関係するものを選ぶ。サービス内容は、利用するアプリケーションや基盤、利用者、データの種類、ベンダが提供する範囲、データセンタや契約形態などを記述する。公式解答例には設問アの個別答案は示されていないため、特定の業務やサービスを公式の正答と断定するのではなく、設問イでリスクを導ける具体性を確保することがポイントになる。800字以内なので、事例の説明に字数を使い過ぎず、後続設問で使う特徴を優先して書く。

設問イ

設問アで設定したサービスと対象業務の特徴から、導入時に留意すべきリスクを具体化する。例えば、データが国内外の複数データセンタに保存される可能性がある場合は、所在や適用法令、委託先管理の確認が難しくなることを、対象業務の機密性や法令上の保存要件と結び付けて述べる。また、あらかじめ定められた約款で提供される場合は、サービスレベル、障害・復旧時の責任分担、データ返却や終了時の移行条件を十分に交渉できないリスクを考える。さらに、共用環境、インターネット接続、ベンダ障害、アクセス権限、バックアップ、可用性など、クラウド環境の特徴も対象業務への影響とともに整理する。ただし、公式解答例にない個別リスクを正答と断定するのではなく、問題文と出題趣旨が示すクラウド及びパブリッククラウドの特徴に沿って、リスク、発生原因、業務影響を対応付ける。採点講評が指摘するように、問題文の例を列挙するだけ、又は一般的な外部委託リスクだけを書くのは不十分です。700字以上1、400字以内なので、複数の重要リスクについて、各リスクの具体性を保つ。

設問ウ

設問イで挙げた各リスクについて、対策が検討又は実施されているか、また対策がリスクを十分に低減する内容かを確認する監査手続を書く。手続は、文書閲覧、担当者への質問、契約・約款やサービスレベルの確認、設定値・運用記録・障害記録・バックアップ記録の検査、必要に応じたサンプル確認など、監査証拠が分かる形にする。例えばデータ所在のリスクなら、保存場所、委託先、適用される契約条件、所在変更時の通知や承認の仕組みを契約書・仕様書・運用記録で確認する。可用性や障害対応なら、サービスレベル、監視、通知、復旧手順、復旧訓練の実施記録を確認し、対象業務に必要な水準を満たすか評価する。アクセス管理なら、権限付与・変更・削除の承認記録やログを検査する。クラウドでは利用者がデータセンタを直接確認しにくいことがあるため、ベンダの監査報告書や第三者による保証資料など、入手可能な証拠を確認する観点も必要になる。採点講評では、パブリッククラウドで一般的に実施が困難なデータセンタ実査をそのまま述べる答案が散見されたとされるため、実行可能な代替手続と、確認対象・証拠・評価基準まで具体化する。

学習のポイント

クラウド固有リスクを業務影響、対策、監査証拠まで落とし込む練習をする。