平成27年度春期 システム監査技術者 午後Ⅱ 問2

電子商取引監査の重要着眼点

消費者向け電子商取引では、業務の特徴と情報資産への影響を踏まえ、三つの情報セキュリティ特性を個別に捉えながら、運用上のリスクと監査で確認する根拠を整理することが重要です。

この問題で問われていること

設問全体を通じて、対象システムの業務特性から重要なリスクを一つの軸で捉え、そのリスクに対応する管理の考え方と、監査で得る証拠の関係を一貫して説明できるかを確認する。

視点

監査の検討では、サービスの流れ、関係者、扱う情報、業務への影響を順に整理し、リスク、対応する管理、実施状況を確かめる証拠がつながっているかという視点で考える。

確認ポイント

• 対象システムの業務の流れと、関係する情報や関係者を整理できているか
• 想定するリスクが業務にどのような影響を及ぼすかを区別して考えているか
• 管理の実施状況を確かめる際、どのような証拠と確認観点が必要かを結び付けているか

解説

消費者向け電子商取引では、個人情報漏えい、取引データの消失・誤り、注文集中による停止が事業に大きく影響する。三つのリスクに対するコントロールと、その実効性を示す監査証拠を一貫して論述する問題です。

問題の全体像

問題文は、BtoCやCtoCなど消費者を対象とする電子商取引を題材に、個人情報を扱う機密性、申込み・承諾や取引記録を正確に保つ完全性、注文集中時にも取引を継続する可用性を問うている。設問アで自分が関係するシステムの概要・ビジネス上の特徴・重要リスクを設定し、設問イで三要素を確保するコントロールを具体化し、設問ウでその適切性を監査する手続、監査証拠、確認ポイントまで展開する構成です。公式解答例の出題趣旨では、個人情報漏えい、データ消失、取引データ集中によるシステムダウンの影響を踏まえ、三要素のリスクを低減するコントロールが有効に機能しているかを監査で確認する知識・経験が問われるとしている。

設問ア

まず、対象とする電子商取引システムを、商品、利用者、注文、決済、配送などの業務の流れが分かる程度に具体化する。次に、不特定多数の消費者を対象とすること、取引量や注文集中が変動すること、個人情報や決済に関わる情報を扱うことなど、ビジネス上の特徴を示します。その特徴から、情報システムを運営する立場で重要と考えるリスクを、機密性・完全性・可用性の観点で整理する。例えば、個人情報の漏えい、注文や承諾データの消失・誤記録、アクセス集中による停止といった影響を、契約、販売機会、顧客信用などに結び付けて述べる。800字以内なので、システムの説明を長くし過ぎず、特徴とリスクの因果関係を明確にすることが重要です。採点講評では、設問アで重要なリスクの記述が少ない答案があったとされているため、概要だけで終わらせない。

設問イ

設問アで挙げたリスクに対応させて、機密性、完全性、可用性の各コントロールを漏れなく具体的に述べる。単に三要素の定義や一般的な対策を列挙するのではなく、誰が、どの情報や処理を対象に、どのように不正閲覧、誤り・消失、停止を防ぐのかを、対象システムの業務と関連付ける。さらに、コントロールが機能しなかった場合の影響や、運用上どのように継続的に実施するかまで書くと、具体性が増す。機密性だけに偏らず、完全性と可用性についても同程度に展開することが必要です。採点講評では、完全性・可用性のコントロールの記述が不十分な答案が多かったとされているため、三要素それぞれについて、リスク、対策、期待する効果を対応させる。

設問ウ

設問イで挙げた各コントロールについて、実際に適切に設計され、継続して運用され、目的どおり機能しているかを監査する手続として述べる。規程や手順書だけを確認するのではなく、設定内容、運用記録、取引記録、アクセスや障害に関するログ、テスト結果など、実施状況を裏付ける監査証拠を想定し、どの証拠から何を確かめるかを明示する。機密性なら権限や個人情報へのアクセス、完全性なら注文・承諾・記録の正確性と欠落、可用性なら集中時の処理継続、障害対応や復旧の実効性を確認するというように、コントロールごとに手続と確認ポイントを対応付ける。採点講評では、監査手続の記述不足、監査人の立場からの記述不足が指摘されているため、コントロールの説明を繰り返すのではなく、証拠の入手、照合・観察・試査などを通じて適切性を判断する流れを書く。

学習のポイント

リスク、コントロール、監査証拠を対応付けて具体化する力を養う。