AUシステム監査技術者試験午後Ⅰ

平成28年度春期システム監査技術者午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問1　情報セキュリティインシデント対応状況の監査に関する次の記述を読んで、設問1～4に答えよ。 B社は、中規模のインターネットサービス企業であり、買収した国内の子会社2社を含めて、B社グループとして事業を展開している。〔B社グループの情報セキュリティインシデント対応体制〕 B社グループは昨年4月、情報セキュリティインシデント（以下、インシデントという）への対応体制強化のために、B社 CSIRT（Computer Security Incident Response Team）を設置した。B社グループにおけるB社 CSIRTの位置付け、及び国内外の外部 CSIRTなどの外部関連組織・外部 Webサイトとの関係を、図1に示す。図1　B社 CSIRTの位置付け及び外部関連組織・外部 Webサイトとの関係 B社 CSIRTは、B社の役員及び従業員で構成され、メンバは、最高責任者であるCIO、情報セキュリティに精通した専任社員（以下、専任社員という）2名、情報システム部との兼任社員（以下、情シ兼任社員という）2名、及びインシデント対応関連部署（広報部、法務部など）との兼任社員5名である。これらの兼任社員7名は、各子会社の対応する同部署との連絡窓口にもなっている。 B社 CSIRTの対応範囲は、基本的にB社グループ内であるが、必要に応じて外部関連組織と連携して対応する場合がある。〔インシデント対応状況の監査〕年度監査計画に基づき、B社内部監査部のシステム監査人2名が、設置後1年を経たB社 CSIRTにおけるインシデント対応状況の監査を行った。監査の結果、判明した事項は、次のとおりである。（1）B社グループが共通で利用している電子メールシステム及びイントラネットを除き、B社グループ各社の情報基盤は、IDSなどの検知システムを含め、それぞれの情報システム部門が独自に管理している。検知システムは、B社 CSIRT設置以前に、B社グループ各社が導入していたものである。（2）B社 CSIRTの最も重要な役割は、情報セキュリティイベント（以下、イベントという）の認知・連絡受付から通知・報告などに至る一連の活動（以下、インシデントハンドリングという）である。その内容を、表1に示す。表1　B社 CSIRTが行うインシデントハンドリングの内容（抜粋）（3）B社 CSIRTは、イベントを“B社グループの情報セキュリティに影響を及ぼし、重大な情報セキュリティ事故につながるおそれがある事象”と定義している。さらに、イベントの中でも“重大な情報セキュリティ事故に至り、B社グループに多大な被害を与える事象”をインシデントと定義し、インシデントレスポンスの対象としている。（4）B社グループ各社の検知システムで検知されたイベントは、インシデントかどうか自動判定が行われ、インシデントと判定された場合には、B社 CSIRTにも自動的に通知される。このときに使用される、イベントの検知基準及びインシデントの自動判定基準は、検知システム上で設定されており、これらは、B社 CSIRT設置時に一度見直しが行われている。しかし、それ以降は検知システム上の設定が見直されておらず、検知システムで問題が発生するおそれがある。（5）専任社員及び情シ兼任社員は、B社 CSIRTに常駐している。情シ兼任社員は、インシデントハンドリングにおいて、トリアージを含め、専任社員の職務を担当することもある。トリアージで使用するインシデント判定マニュアルには、判定のための確認事項及び確認方法が記述されている。このマニュアルは、トリアージについて高いスキルをもつ技術者向けに策定されているので、全ての確認事項について、詳細な確認方法が記述されているわけではない。また、情シ兼任社員2名は、専任社員と同等のスキルをもっておらず、トリアージを常に正確に行うのは困難と判断される。このため、確認事項によっては、トリアージが適切に行われないおそれがある。（6）最近、B社 CSIRTが、子会社の一つでインシデントレスポンスを行ったとき、一部のネットワーク機器が生成するログレコードの形式が、当該機器のバージョンアップで変更されており、そのまま使用することができなかった。その影響で、被害範囲の特定及び対応策の検討に時間を要し、結果的にインシデントハンドリングの完了が遅れた。現在の運用のままでは、インシデントが発生した場合、再度インシデントハンドリングに支障を来すおそれがある。（7）B社 CSIRT設置の際に外部関連組織との連携体制を構築して以降、定期的な情報交換や外部関連組織リストの更新などを行っていない。外部関連組織との連携体制の維持・強化は、B社 CSIRT運用規程で定められているが、日々発生するイベントの認知・連絡受付やトリアージに追われ、後回しになっている。その結果、B社グループ内又は外部でインシデントが発生した場合、外部関連組織との連携が迅速かつ有効に行われないおそれがある。設問1　〔インシデント対応状況の監査〕の（4）について、システム監査人は、どのような問題が発生するおそれがあると考えたか。問題を一つ挙げ、35字以内で述べよ。設問2　〔インシデント対応状況の監査〕の（5）について、システム監査人は、どのような監査手続を実施した結果、“情シ兼任社員2名は、専任社員と同等のスキルをもっておらず、トリアージを常に正確に行うのは困難”と判断したか、45字以内で述べよ。設問3　〔インシデント対応状況の監査〕の（6）について、システム監査人は、B社 CSIRTが、B社グループ各社と連携してどのような対策を実施すべきと考えたか、40字以内で述べよ。設問4　〔インシデント対応状況の監査〕の（7）について、システム監査人が想定した、“外部関連組織との連携が迅速かつ有効に行われない”ことによる影響を、次の（1）及び（2）の観点から、それぞれ50字以内で述べよ。（1）B社グループ内に及ぼす影響（2）B社グループ外に及ぼす影響

図1　B社 CSIRTの位置付け及び外部関連組織・外部 Webサイトとの関係。B社グループ内のB社 CSIRTと経営者、社内関連部署、ヘルプデスク、子会社、国内外の外部CSIRT及び外部Webサイトとの連携関係を示す図。

表1　B社 CSIRTが行うインシデントハンドリングの内容（抜粋）。B社 CSIRTのインシデントハンドリングを、イベント認知・連絡受付、トリアージ、インシデントレスポンス、通知・報告などの項目別に整理した表。

解き方のヒントを見る

監査で見る継続運用の視点

設問ごとの個別事象をそのまま答えに結び付けず、インシデント対応の仕組みが時間の経過や担当者、周辺組織との関係によってどのような監査上の論点を持つかを整理し、影響の考え方を切り分ける。

この問題で問われていること

一時点で整備されていた仕組みが、その後も適切に機能し続けるかという継続運用の観点に絞り、変化の把握、担当能力、記録の扱い、連携関係の維持が対応品質にどう関わるかを確認する。

視点

監査では、規程や仕組みが存在することだけでなく、環境の変化を反映しながら実際の対応に使える状態が保たれているかを捉える。検知、判断、記録、連絡などの各場面で、役割・情報・手順の更新や確認がどのように管理されているかを考える。

確認ポイント

仕組みや手順が、導入時の前提から変わっていないか
担当者が判断に必要な情報と能力を備えているか
組織間の情報共有や連絡経路が現在も機能するか

正解と解説を見る

解説

B社CSIRTの運用について、検知基準の陳腐化、担当者の技能不足、システム変更の把握不足、外部組織との連携停滞によるリスクを、監査人の問題認識・監査手続・対策・影響の観点から問う問題です。

問題の全体像

B社グループは、買収した子会社を含む組織全体のインシデント対応を目的にB社CSIRTを設置している。CSIRTはイベントの受付、トリアージ、インシデント対応、社内外への通知などを担う。一方、検知システムの設定が設置時から更新されていないこと、情シ兼任社員の技能とマニュアルの記載が十分でないこと、ネットワーク機器の変更をCSIRTが把握できていないこと、外部関連組織との連携体制が維持されていないことが判明した。出題趣旨では、CSIRT運用上のリスクを識別し、リスクに応じたコントロールと、その有効性を確かめる監査手続を選択する能力が問われている。

設問1

着目するのは、検知基準とインシデント自動判定基準がCSIRT設置時に一度見直されただけで、その後更新されていない点です。攻撃手法や利用技術が変化しても設定が旧態依然のままだと、検知対象から外れるイベントが生じる。公式解答例では、新技術を利用した攻撃などの可能性があるイベントを検知できない問題を挙げている。35字以内なので、「新しい攻撃を検知できない」という原因と結果を簡潔に押さえる。

設問2

問われているのは結論ではなく、その結論に至る監査手続です。マニュアルには一部の確認事項について詳細な確認方法がなく、情シ兼任社員は専任社員と同等の技能を持たない。したがって、監査人がその確認事項について情シ兼任社員に確認方法を質問する、または実施したトリアージ記録を査閲することで、技能不足による判断の正確性を確かめられる。公式解答例はこの二つの手続を示しており、答案では少なくとも「詳細な方法の記載がない確認事項」と「質問又は記録査閲」の対応を明確にする。

設問3

着目する事実は、ネットワーク機器のバージョンアップでログ形式が変わり、被害範囲の特定や対策検討が遅れたことです。再発防止には、子会社が行うシステム変更をCSIRTへ報告させ、変更によるインシデント対応への影響をCSIRTが把握できる仕組みが必要になる。公式解答例では、システム変更時の内容をB社CSIRTに報告させ、影響を把握する仕組みの構築を示している。40字以内では「変更時の報告」と「影響把握の仕組み」の二要素を入れる。

設問4(1)

グループ内への影響では、外部で発生したインシデントから得られる情報や対応機会を生かせない点に着目する。外部関連組織との連携が遅れたり有効でなかったりすると、外部で発生したインシデントへの対応を適切に行えず、B社グループが同様の被害を受ける可能性がある。公式解答例も、外部インシデントへの対応不備からグループが同様の被害を受けることを示している。

設問4(2)

グループ外への影響では、B社グループ内で起きたインシデントへの外部側の対応が遅れ、被害が外部へ広がる点に着目する。公式解答例では、グループ外での対応が遅れ、グループ内で発生したインシデントと同様の被害が外部に拡大することを示している。50字以内では、「外部対応の遅延」と「被害の外部拡大」を一続きの因果関係として書く。

学習のポイント

CSIRT監査では、事実からリスクを抽出し、適切な監査手続や対策、影響まで結び付けて書く力を養う。

出典：独立行政法人情報処理推進機構（IPA）平成28年度春期システム監査技術者試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成28年度春期 システム監査技術者 午後Ⅰ 問1

問題