平成31年度春期 システム監査技術者 午後Ⅱ 問2

規程見直しと周知のつながり

この問題では、情報セキュリティ関連規程を見直す際に、変化するリスクへの対応だけでなく、影響を受ける資産や利用者へ内容を届け、実際の運用につなげる観点を整理します。

この問題で問われていること

一つの視点として、規程の見直し内容と、それを関係する部署・利用者へ周知して定着させる計画が、対象範囲や実施状況を踏まえて無理なく結び付いているかを考えてください。

視点

規程改定そのものの妥当性だけに注目せず、背景となるリスク、影響を受けるIT資産・利用者、組織の役割、周知後の運用までが一貫した流れとして扱われているかを整理する視点です。監査では、計画と実施の対応、記録、課題への対処を確認する方向で考えます。

確認ポイント

• 改定の背景と、影響を受ける資産・利用者の関係が整理されているか
• 見直しの計画と周知の計画が、対象や実施時期の面で結び付いているか
• 周知後の理解・運用状況と、未解決の課題を確認できる記録があるか

解説

本問は、変化するリスクに対応した情報セキュリティ関連規程の見直しと、その内容を全部署へ周知徹底する計画・実施状況を、システム監査人の立場から論述する問題です。

問題の全体像

サイバー攻撃、個人情報規制、テレワーク、スマートデバイス、クラウド利用などにより、情報セキュリティ上のリスクとIT資産の利用環境は変化する。そのため、基本方針、管理策、実施手順を含む関連規程を、目的・適用時期・適用範囲・対応技術などを踏まえて見直す必要がある。さらに、見直しの影響は各部署のハードウェア、ソフトウェア、ネットワーク及び利用者に及ぶため、社員教育だけでなく、対象範囲、組織体制、進捗管理、適用上の課題解決を含む周知徹底が必要になる。公式資料の出題趣旨では、監査人として、規程の見直し手続、周知計画、周知徹底状況の適切性を監査する知識・能力が問われている。

設問ア

自分が携わった事例を一つ設定し、①どの関連規程をどのように見直したか、②サイバー攻撃、新技術導入、法令・規制、テレワークなど、なぜ見直しが必要になったか、③見直しによって影響を受けるIT資産とその管理・利用がどう変わったか、を800字以内でまとめる。規程の名称だけで終わらせず、基本方針、管理策、実施手順のどの層を変更したのか、対象となる部署・システム・利用者を示すと、後続の設問イ・ウと結び付く。採点講評では、関連規程の体系を説明しながら論述する答案が少なかったとされているため、規程の構成と事例との関係を明確にすることが重要です。

設問イ

設問アの事例について、見直しを適切な手続に基づいて行ったかを監査する。まず、リスク評価や環境変化の把握、見直し目的の設定、適用時期・適用範囲・対応技術の検討、関係部署や責任者の承認、規程案のレビュー及び改訂履歴を確認する。次に、議事録、リスク評価書、資産台帳、技術資料、承認記録などの監査証拠を入手し、規程の内容が識別したリスクとIT資産の実態に整合しているかを確かめる。留意事項として、規程の階層間に矛盾がないか、実現可能な管理策か、既存システムや業務への影響を評価しているか、例外・移行期間・責任分担が明確かを挙げる。採点講評では、見直しを行う立場からの記述や、見直した規程を適用する際の留意点が不足する答案が多かったため、単なる教育や承認の確認ではなく、見直しの合理性と適用可能性を監査手続として具体化する。700字以上1、400字以内なので、監査目的、手続、証拠、留意事項を対応付けて書く。

設問ウ

見直した規程を全ての関係部署・利用者に周知徹底するための計画と、その実施状況を監査する。計画については、対象となるIT資産、部署、職種、委託先を漏れなく識別しているか、規程の内容に応じて説明会、教育、通知、手順書、システム上の確認などの方法を選んでいるか、実施責任者、期限、到達基準、進捗報告、未受講者への督促を定めているかを確認する。実施状況については、配布記録、受講者名簿、理解度テスト、受講率、未対応者一覧、責任者のフォロー記録、問い合わせ・適用上の課題とその解決記録を調査し、計画どおり全対象に届き、実際の業務やIT資産の利用に反映されたかを確かめる。採点講評では、周知徹底の監査でも社員教育だけを述べる答案が目立ったとされているため、周知対象の網羅性、組織体制、進捗管理、未達時の是正及び課題解決まで含める。設問イの見直し結果と設問アの影響範囲を前提に、700字以上1、400字以内で一貫した監査手続として論述する。

学習のポイント

規程の体系、見直し手続、監査証拠、周知対象の網羅性を一貫して整理する力を養う。