平成27年度春期 システム監査技術者 午後Ⅰ 問1

問1　デスクトップ仮想化の企画段階における監査に関する次の記述を読んで、設問1 ～4に答えよ。 C社は、社員数約1、000名の中規模事務機器メーカであり、東京本社に約500名、大阪支社に約300名、及び大阪近郊の工場に約200名の社員が勤務している。 C社は、経営課題であるTCO削減の一環として、昨年末までの3年間で、工場の制御系システム以外の全ての社内情報システムを、Webベースのシステムに移行している。社員は、社外からリモート接続してこれらを使用することもできる。 社内情報システムは、災害発生時などに備えたバックアップサーバを含め、100台のサーバ上で稼働している。100台のサーバのうち、55台が東京本社内、45台が大阪支社内の各サーバルームに設置されている。 〔デスクトップ仮想化についての検討経緯〕 C社は、現在、社員が使用しているノート型クライアントPC（以下、PCという）の更新を控えており、今後数年にわたり、導入時期に応じて順次更新時期を迎える。 C社の情報システム部長は、OSのバージョンの相違による運用の複雑化を避ける目的で、今回、約1、000台のPCを一斉に更新したいと考えていた。一方で、TCO削減のために、PC購入コストを極力抑える必要性も認識していた。また、この機会に、情報漏えいの防止、PC運用管理の効率向上、災害時における業務継続の実効性強化を図りたいとも考えていた。 C社の情報システム部は、これらの課題に対処するために、デスクトップ仮想化の検討を行った。その結果、VDI（Virtual Desktop Infrastructure）が最適であると判断した。VDIでは、PCごとに独立した仮想マシンを物理サーバ上で稼働させ、PCから仮想マシンに操作情報を送り、処理結果として画面情報を受け取る。個々のPCに高い処理能力が要求されないので、PC購入コストを抑えることができ、仮想マシンの一元管理によって、PC運用管理の効率向上が図れる。また、PC内にデータを保持しないので、PCの紛失、盗難などによる情報漏えいの防止が図れ、さらに、アプリケーションプログラムが仮想マシン上で稼働するので、災害時における業務継続の実効性強化が図れる。 VDI導入に向けた検討プロジェクト（以下、プロジェクトという）の発足が経営会議で承認されたことを受けて、情報システム部員によるプロジェクトチームが組織され、検討が開始された。プロジェクトチームは、週次でプロジェクト会議を開催し、検討内容及び決定事項を議事録にまとめて、関係者に回付している。 〔VDI導入に関する検討〕 プロジェクトチームは、PC台数に基づいて、VDIを構成するサーバ、ネットワークなどのシステム資源の検討を行った。その結果、“VDI導入のための初期コスト（VDIサーバ、関連機器の購入コストなど）は掛かるが、PCの購入コストを低減することができ、更にPC運用管理の効率向上などによって運用コストを大幅に削減できることから、導入後3年で投資コストを回収でき、TCO削減が見込める”という結論に至った。 プロジェクトチームは、検討結果を“VDI導入検討報告書”（以下、検討報告書という）にまとめた。表1は、VDI導入によって対処すべき課題に対して、プロジェクトチームが定めた検討項目であり、検討報告書に含まれている。 表1　VDI導入によって対処すべき課題及び検討項目（抜粋） 〔監査の実施〕 C社の社長は、プロジェクトチームの検討内容が妥当かどうかを、独立した立場から検証する必要があると考えて、監査室長に監査の実施を命じた。 監査室は、検討報告書、プロジェクト会議の議事録などを入手し、それらを閲覧するとともに、関係者にインタビューを行った。その結果、次のことが判明した。 （1）表1項番1検討項目（1）について：プロジェクトチームは、最近、社内で通知された、東京本社のデザイン部門の事業強化に伴う人員増強に関して、VDI導入の初期コストへの影響を調査した。プロジェクトチームのメンバの結論は、PC台数の増加を考慮する必要があるが、それ以外に大きな影響を及ぼす要因はないということであった。 （2）表1項番2検討項目（1）について：現在、PC起動直後、及び10時、12時などの偶数の正時にウイルス対策ソフトのパターンファイルを更新する運用を行っている。また、PCのアイドル時（スクリーンセーバ実行時、PCロック時など）には、自動的にウイルススキャンが行われている。これまで、個々のPCのパフォーマンスに影響を及ぼす問題は発生していないので、VDI導入後のウイルス対策ソフトによるパフォーマンスへの影響は、特に懸念していない。 （3）表1項番3検討項目（2）について：現在、サーバ、ネットワークなどのシステム資源の障害に関しては、システム管理者が、障害発生時に自動送信されるアラートメールを受けてから対応している。現行の仕組みでは、利用者からの苦情などの問題は発生していないので、VDI導入によるシステム運用・監視体制の変更は必要ないと考えている。 （4）表1項番4検討項目（1）について：東京本社又は大阪支社が被災した場合、どちらかの使用可能な社屋に設置されている社内情報システムのバックアップサーバを使用し、業務を継続させることになっている。毎年、現行の業務継続計画に基づく実地訓練が行われており、訓練では特に問題は発生していない。VDI導入によって生じる変更については、現行の計画を部分的に改訂して対応する。 〔監査における指摘事項〕 監査における指摘事項は、次のとおりである。 （1）〔監査の実施〕の（1）について：デザイン部門の事業強化によって、グラフィックス処理及びデータ伝送量も増加し、VDIを構成するシステム資源に影響を与える。この点を考慮すると、プロジェクトチームが行った、PC台数に基づく検討だけでは不十分である。 （2）〔監査の実施〕の（2）について：現在、個々のPCで行われている大部分の処理が、VDI導入後はVDIサーバ上の仮想マシンで実行される。導入予定のVDIサーバの性能を考慮すると、現行のウイルス対策ソフトの運用方法を継続した場合、利用者が社内情報システムを平常どおり使用できない状況が発生する可能性が高い。 （3）〔監査の実施〕の（3）について：VDIでは、個々のPCに高い処理能力が要求されない代わりに、VDIサーバでのCPU処理、GPU処理、記憶装置に対するI/O及びネットワークの負荷が高まる。これらの高負荷が掛かるシステム資源において、パフォーマンスの悪化又は障害が発生した場合の業務への影響を考慮すると、その対策が更に重要になる。 （4）〔監査の実施〕の（4）について：導入予定のVDIサーバ1台で稼働可能な仮想マシンは、約120台である。また、VDIサーバの台数は、バックアップサーバを含め、東京本社と大阪支社の各サーバルームにそれぞれ7台である。これらの台数は、現在のPC台数に加え、デザイン部門の事業強化に伴う人員増強、将来のPC台数の増加などを考慮したものである。しかし、災害発生時などには、全PCに対応する仮想マシンを稼働させることができないので、平常時と同等の業務遂行ができない。 設問1　〔監査における指摘事項〕の（1）について、システム監査人は、PC台数に基づく検討の他にどのような検討が必要であると考えたか、30字以内で述べよ。 設問2　〔監査における指摘事項〕の（2）について、システム監査人が、社内情報システムの利用者への影響を懸念した理由を、その原因を含めて45字以内で述べよ。 設問3　〔監査における指摘事項〕の（3）について、システム資源に関するリスクを軽減するために、システム監査人が重要と考えた対策を、40字以内で述べよ。 設問4　〔監査における指摘事項〕の（4）について、システム監査人は、指摘事項に関して、想定される複数の観点から改善提案を検討する必要がある。この点を踏まえて次の（1），（2）に答えよ。 （1）業務継続の実効性強化の観点から検討すべき改善提案を、50字以内で述べよ。 （2）TCO削減の観点から検討すべき改善提案を、50字以内で述べよ。