平成27年度春期 システム監査技術者 午後Ⅱ 問1

実施時点と目的の対応を確認

各記述を単独で覚えず、脆弱性への対応がどの段階で、何を確かめるために行われるものかという対応関係に注目して、問題文の表現を整理しましょう。時系列も意識して丁寧に読みます。

この問題で問われていること

今回の確認では、個々の用語の暗記よりも、示された活動の目的と実施される時点が自然につながっているかという一つの観点に絞って、慎重に読み比べてください。

視点

脆弱性対策を考えるときは、活動の目的、実施される時点、確認対象、記録や証跡の扱いが互いに矛盾していないかを、与えられた記述に沿って整理します。

確認ポイント

• 活動が想定している目的を、記述どおりに短く言い換えられるか確認する。
• その活動が行われる時点を、前後の工程との関係で確認する。
• 目的と時点の組合せに、記述上の食い違いがないか確認する。

解説

本問は、ソフトウェア製品やアプリケーションの脆弱性による情報窃取、改ざん、権限を越えた閲覧などのリスクを前提に、発生防止、発見、対応のコントロールと、それらが有効に機能しているかを監査する力を問う。

問題の全体像

問題文は、ソフトウェアの脆弱性を悪用されると、権限のない利用者による情報閲覧や、情報の窃取・改ざんなどが起こり得ると説明している。また、テストだけで全ての脆弱性を取り除くことは難しく、バージョンアップで新たな脆弱性が生じる可能性もあるため、開発、テスト、運用・保守の各段階で継続的に対策する必要がある。公式の出題趣旨も、脆弱性対策の漏れを防ぐコントロールが整備され、適切に運用されているかを監査で確認することを重視している。したがって、設問アで対象システムと固有のリスクを設定し、設問イで段階別のコントロールを示し、設問ウでその有効性を監査証拠によって確かめる構成が求められる。

設問ア

まず、自分が携わった情報システムについて、業務目的、利用者、主要な機能、扱う情報、構成するソフトウェアなどを簡潔に示す。その上で、そのシステムに関係する脆弱性と、脆弱性が悪用された場合の具体的なリスクを結び付けて述べる。例えば、認証や入力処理などの脆弱性によって、権限のない利用者が個人情報を閲覧したり、データを改ざんしたりする、といった形です。単にウイルスや不正アクセスを列挙するのではなく、対象システムのどのソフトウェア上の欠陥が、どの情報や業務に、どのような影響を与えるかを800字以内で明確にすることが重要です。

設問イ

設問アで設定したシステムに関連付け、開発、テスト、運用・保守の三段階を漏れなく扱う。開発段階では、セキュリティ要件の定義、設計・コーディング規約、レビュー、変更管理など、脆弱性を作り込まないためのコントロールを書く。テスト段階では、脆弱性診断やセキュリティテスト、発見事項の記録、修正後の再テスト、リリース判定など、脆弱性が残っていないことを確認するコントロールを書く。運用・保守段階では、脆弱性情報の収集、影響評価、パッチやバージョンアップの適用、緊急対応、適用後の確認、継続的な監視などを示します。公式の採点講評は、一般的なセキュリティ対策の列挙ではなく、脆弱性対策の定義を踏まえた具体的な記述を求めているため、各コントロールの目的と実施内容を明らかにし、700字以上1、400字以内にまとめる。

設問ウ

設問イで記述した各コントロールについて、監査人がどのような手続で有効性を確かめるかを、確認する監査証拠とともに述べる。例えば、規程や標準を閲覧して要求事項を確認し、要件定義書、設計書、レビュー記録、テスト計画・結果、脆弱性診断報告書、修正記録、変更承認記録、パッチ適用履歴、監視記録などを入手して、コントロールの整備状況と運用状況を確認する。さらに、記録のサンプルを選んで、要件からテスト、発見事項の修正、承認、リリースまでを追跡したり、運用担当者への質問や再実施によって記録と実態を照合したりする。採点講評では、監査人の立場から監査手続を具体的に書けていない答案が多かったとされているため、単に証拠を列挙せず、どの手続で何を確かめ、その証拠がどのコントロールの有効性を示すのかを対応付け、700字以上1、400字以内で記述する。

学習のポイント

一般論ではなく、段階別の具体的な対策、監査手続、確認証拠を一貫して記述する力を養う。