平成31年度春期 システム監査技術者 午後Ⅱ 問1

企画段階でのIoT監査の視点

IoTシステムの企画段階では、機器単体ではなく、接続範囲の拡大や利用目的の変化が全体へ及ぼす影響を捉え、後続の開発・運用・保守・安全管理につながる確認軸を整理します。

この問題で問われていること

一つに絞る視点は、想定したIoT特有のリスクと、企画時点で確認する方針・基準・責任分担との対応関係です。個別対策を列挙せず、監査で確かめる対象のつながりを意識してください。

視点

IoTでは、現場の機器、通信、データ、アプリケーション、利用サービスが相互に影響し、導入後も構成や用途が変わり得ます。そのため、企画段階の監査では、想定した影響範囲と管理上の確認対象が対応しているかという観点で整理します。

確認ポイント

• 想定するリスクが、機器だけでなくシステム全体の関係性から整理されているか
• 企画段階で確認する方針や基準の対象範囲が、将来の変化も踏まえているか
• 監査手続が、リスクと確認対象の対応を説明できる構成になっているか

解説

IoTシステムの企画段階で、導入目的と事業効果を明確にし、多様なデバイスの故障・誤動作・攻撃などによる影響を評価した上で、開発、運用、保守、セキュリティの方針・基準の適切性を監査する問題です。

問題の全体像

IoTデバイスから位置・状態・動きなどの情報を継続的かつ大量に収集・分析し、故障予測、自動制御、生産管理、新たな保険サービスなどに活用するシステムが題材です。多様かつ大量のデバイス接続によってシステム構成やアプリケーションが変化・拡大する一方、デバイスの故障、誤動作、サイバー攻撃、不正な遠隔操作が、サービス停止、情報の信頼性低下、重大な安全影響につながる。出題趣旨は、こうしたIoT特有のリスクを企画段階で想定・評価し、開発、運用、保守、セキュリティに関する方針・基準が適切かを監査する考え方を問うことです。

設問ア

まず、答案全体の前提となるIoTシステムを、組織で導入済み又は導入検討中の具体的な事例として設定する。どのデバイスが何を検知し、通信を通じてどのシステムで収集・分析し、誰がどの業務で利用するかを簡潔に示す。その上で、業務の自動化、予測による効率化、品質向上、サービス創出など、導入前と比べて得られるビジネス上のメリットを対応付けて述べる。採点講評では、IoTシステムの概要やビジネス上のメリットの説明不足が目立ったとされているため、単に「センサでデータを集める」とせず、利用目的と事業効果まで書くことが重要です。800字以内なので、構成要素、データの流れ、利用業務、効果を一つの事例に絞る。

設問イ

設問アで設定したシステムに即して、システム監査人が想定するリスクを、発生原因、影響、IoT特有性が分かるように具体化する。多様・大量のデバイスを接続することで構成管理が複雑になること、デバイスの故障・誤動作やデータ欠損・改ざんが分析結果や自動制御に波及すること、通信機能や遠隔接続が攻撃の入口や踏み台になること、更新されない機器や異なる仕様の機器が混在することなどを、対象システムの業務影響と結び付ける。また、医療・自動車などでは不正操作が人命に関わる可能性も示す。リスクは開発、運用、保守、セキュリティの各面に整理すると漏れにくい。採点講評では、開発・運用・保守のリスクを述べる答案が少なかったとされているため、セキュリティ攻撃だけに偏らず、ライフサイクル全体を扱い、700～1、400字の範囲で具体例と影響を十分に展開する。

設問ウ

設問イで挙げた各リスクに対し、企画段階で方針・基準の適切性を確かめる監査手続を、監査人の行為として記述する。例えば、企画書、リスク評価、要求事項、開発・運用・保守・セキュリティ方針、標準、体制図、契約や更新計画などを入手して内容と整合性を確認し、責任者や関係部門への質問、会議記録や承認記録の閲覧、リスクと対策の対応関係の検証を行う。さらに、故障・誤動作・通信断・不正アクセス・遠隔操作などへの予防、検知、復旧、変更管理、脆弱性対応、機器廃棄までの考慮が方針・基準に反映されているかを確認する。採点講評では、運用段階の監査手続を述べる答案や、入手すべき監査証拠を記載しない答案が多かったとされている。したがって、企画段階で何を確認し、誰に質問し、どの文書・記録を証拠とし、リスクに対して十分かをどう評価するかまで書く。

学習のポイント

IoT特有のリスクを具体化し、リスクに対応する監査手続と確認証拠まで一貫して書く力を養う。