令和4年度秋期 システム監査技術者 午前Ⅱ 問7

監査と運用の両立を考える視点

システム監査は業務の評価に必要な一方、稼働中の情報システムに対して作業を行うため、業務への影響が生じ得ます。規格が監査の実施時に何を守ろうとしているのかという目的に立ち返り、各内容がその目的と整合するかを自分で判断してみましょう。

この問題で問われていること

問われているのは、監査という正当な活動を行う場面で、組織の日常業務や情報資産に対して生じ得る影響をどのように扱うべきかという管理上の考え方です。監査側と運用側の双方の立場から検討してください。

視点

情報セキュリティ管理策の規格では、監査は組織の管理状況を確かめる重要な活動として位置付けられています。一方で、監査も稼働環境に関わる作業です。そのため、監査そのものがリスクの要因になり得るという見方が、この分野を学ぶ際の出発点になります。目的の達成と影響の扱いを切り分けて考えると、整理しやすくなります。

確認ポイント

• 監査の目的を達成することと、業務の継続性を保つことの関係を自分の言葉で説明できるか
• 監査の作業が、誰のどの業務や情報資産に波及し得るかを具体的に想像できているか
• 判断の根拠を、暗記した語句ではなく、規格がこの管理策を設けた趣旨に求めているか

正解

エ

解説

運用システムへの監査では、監査活動による変更や障害の影響を最小限にすることが重要です。ソフトウェアやデータにアクセスする場合は、内容を変更しない読出し専用のアクセスに限定する考え方が適切です。

理由

監査でソフトウェアやデータを扱う際に書込みや変更を許すと、運用中のシステムや監査対象の情報に影響を与えるおそれがある。そのため、必要な情報を確認しつつ内容を変更しない読出し専用アクセスに限定する。

比較

アクセス監視やログ取得から監査を除外すると追跡性が損なわれ、運用担当者だけの同意では関係者との調整が不十分になる。また、可用性への影響が懸念されるテストは、営業時間内に行うとは限らず、影響を抑える時期を選ぶ必要がある。

選択肢ア

これは不正解だよ。監査テストをアクセス監視やログ取得の対象外にすると、監査活動自体の記録や追跡ができなくなる。運用システムへの影響を抑えることと、監査アクセスを監視・記録しないことは同じではなく、むしろ統制上の問題が生じる。

選択肢イ

これは不正解だよ。運用システムやデータへの監査アクセスに関する要求事項は、運用担当者だけに限定して同意を得ればよいものではない。監査対象や関係する責任者など、適切な関係者との調整を含めて承認を得る必要があり、限定の仕方が不適切である。

選択肢ウ

これは不正解だよ。監査テストがシステムの可用性に影響する可能性がある場合、営業時間内に実施すると業務への影響を増やすおそれがある。テストは影響を抑えられる時期や方法を選ぶべきであり、営業時間内という条件は適切な配慮にならない。

選択肢エ（正解）

これは正解だよ。監査でソフトウェアやデータにアクセスする場合、読出し専用に限定すれば、監査対象の内容を変更するリスクを抑えられる。運用システムへの影響を最小限にしながら必要な確認を行うという、設問の趣旨に合致している。

学習のポイント

監査証拠の取得では、対象システムの完全性と可用性を損なわないアクセス制御が重要です。