平成29年度春期 システム監査技術者 午後Ⅱ 問2

運用段階のセキュリティ監査の着眼点

運用中に変化する脅威と、求められるセキュリティ水準の関係を整理し、維持の妨げとなる要因と管理の有効性を監査する視点を考える。業務への影響も意識し、継続的な見直しの意味も含めて考える。

この問題で問われていること

設問ア〜ウを別々に考えず、対象システムの役割と必要な水準を起点に、運用中の変化、対応の管理、確認方法が一貫しているかを検討する点に絞り、答案全体の整合性を確かめる。

視点

監査の視点は、システムの役割や扱う情報の重要性を踏まえ、運用中に脅威や環境が変わったとき、組織が必要な水準を把握し、対応を継続的に管理できているかを追うことに置く。対策の名称を並べるより、要因、管理、確認のつながりと、業務への影響を説明できるかを意識する。

確認ポイント

• 対象システムの役割と求められる水準が、論述全体で一貫しているか確認する。
• 運用段階で起こり得る変化と、それを管理上の課題として捉えているか確認する。
• 述べた管理の有効性を、どのような観点で確かめるか整理する。

解説

本問は、情報セキュリティの脅威が変化することを前提に、情報システムの運用段階でセキュリティレベルを維持するためのコントロールと、その有効性を確認する監査手続を一貫して論述する問題です。

問題の全体像

企業は顧客情報や販売情報などの重要情報を情報システムで蓄積・活用しており、漏えいや滅失が起きるとビジネスに大きな影響が及ぶ。そのため、組織として必要なセキュリティレベルを維持する必要がある。しかし、標的型攻撃などの脅威は高度化・変化し続けるため、構築時に想定した対策だけでは不十分です。公式資料の出題趣旨では、運用段階で対策を適時に見直すコントロールが重要であり、システム監査人には、そのコントロールが有効に機能しているかを確かめる知識・能力が求められるとされている。したがって、設問アで対象システムと必要なセキュリティレベルを示し、設問イで運用中に水準を維持できなくなる要因とコントロールを示し、設問ウでそれらを検証する監査手続までつなげて論述する。

設問ア

まず、自分が関係する情報システムについて、利用者、主要な機能、扱う情報、他システムや業務との関係を簡潔に具体化する。次に、そのシステムが売上、顧客対応、製造、物流などのビジネス上どの役割を担うかを示し、停止、改ざん、漏えい、滅失などが業務に与える影響と結び付ける。その上で、機密性・完全性・可用性のどの側面をどの程度確保すべきか、アクセス制御、ログ管理、バックアップ、監視、復旧などの観点から、求められるセキュリティレベルを述べる。採点講評では、セキュリティレベルではなく単なるリスクを述べる答案が多かったとされているため、リスクの列挙で終わらず、業務上必要な保護水準として表現することが重要です。800字以内なので、システム概要、ビジネス上の役割、要求水準をそれぞれ具体例付きで押さえる。

設問イ

設問アで示したシステムについて、運用段階でセキュリティレベルを維持できなくなる要因と、それに対応するコントロールを対にして記述する。要因は、構築後に新しい攻撃手法が現れること、脆弱性情報やパッチへの対応が遅れること、システム構成・利用者・データ・外部委託先が変化すること、設定や権限が適切に見直されないこと、インシデント対応が機能しないことなど、運用中に発生する変化として具体化する。そのうえで、脅威情報の収集とリスク評価、定期的な脆弱性診断やパッチ適用、変更管理と構成管理、アクセス権の定期レビュー、ログ監視、インシデント対応計画と訓練などを、どの要因に対するコントロールか明示する。採点講評では、構築段階で想定できる要因と対策に偏り、運用段階における脅威の変化を踏まえた答案が少なかったとされている。また、コントロールは一般論で並べず、対象システムの業務や要求水準と結び付け、実施主体、頻度、判断基準、記録などまで示すと具体性が出る。

設問ウ

設問イで述べた各コントロールについて、設計されているかだけでなく、実際に運用され、目的どおり有効に機能しているかを確認する監査手続を記述する。例えば、脅威情報の収集と対策見直しなら、規程・役割分担・会議記録・脆弱性対応一覧を閲覧し、一定期間の案件を抽出して、情報収集から評価、対策決定、完了確認までの記録を追跡する。アクセス権レビューなら、権限管理方針を閲覧し、利用者一覧と異動・退職記録を照合して、承認者、実施時期、不要権限の削除を確認する。ログ監視なら、監視設定、アラート、担当者の対応記録、実際のログを突合する。インシデント対応なら、計画書、連絡網、訓練記録、実際の事例と再発防止策を確認する。このように、規程の閲覧、担当者への質問、現場観察、記録のサンプリング、再実施、他資料との照合を組み合わせ、発見事項と改善状況まで評価する。採点講評では、監査手続ではなく監査結果や指摘事項だけを述べる答案も見られたため、何を、どの証拠で、どの基準と比較して確認するかを明確にする。

学習のポイント

セキュリティレベル、運用中の脅威変化、コントロール、監査手続を対応付けて書く力を身につける。