令和5年度秋期 システム監査技術者 午後Ⅱ 問2

監査観点を整理するための一つの軸

サイバーセキュリティ管理態勢を確認するときは、個別の対策名や結論を先に当てはめず、組織の管理が継続的に機能するかを検討するための観点に集中し、問題文の条件と照らして整理しましょう。

この問題で問われていること

一つの確認軸として、定められた管理の考え方が実際の運用に結び付き、状況の変化や問題の発生を踏まえて見直される仕組みになっているかを、責任や記録などの関係から読み取ります。

視点

監査では、対策が存在するという説明だけで判断せず、方針、役割、実施状況、点検、改善が互いにどのようにつながっているかを捉えることが重要です。設問では、このつながりを確認する視点に絞って考えます。

確認ポイント

• 管理の目的と、確認対象となる範囲が対応しているか。
• 担当者の責任や判断の根拠が、継続的に確認できる形になっているか。
• 運用結果や環境の変化を受けて、見直しにつながる流れがあるか。

解説

外部ネットワーク接続やサプライチェーンの広がりによって多様化するサイバーリスクに対し、技術対策だけでなく、PDCAとインシデント対応を含む管理態勢を監査する問題です。

問題の全体像

問題文は、DXや外部ネットワーク接続の拡大により、情報システム停止、重要情報の流出、取引先を経由した攻撃などのリスクが高まっている状況を示している。攻撃を未然に防ぐ技術的対策だけでは不十分であり、被害を最小化し、ビジネスやサービスを速やかに復旧・継続するため、組織的なサイバーセキュリティ管理態勢とPDCAサイクルが必要になる。公式の出題趣旨では、監査の着眼点、入手すべき監査証拠、具体的な監査手続を論述することで、監査の知識・能力を評価するとされている。採点講評でも、個別システムや技術対策だけでなく、態勢が必要な理由、PDCA全体、インシデント発生時の対応まで具体的に論じることが求められている。

設問ア

まず、自分が関係するビジネス又はサービスについて、提供目的、利用者、主要な業務、扱う情報、利用するシステム、外部接続、委託先や取引先との関係を簡潔に設定する。その上で、情報漏えい、サービス停止、データ改ざん、認証情報の悪用、委託先を経由した攻撃など、そのビジネス固有のリスクと影響を結び付けて説明する。管理態勢が必要な理由は、個別のシステムに対する防御だけでは、組織横断的な責任分担、継続的なリスク変化、サプライチェーン、インシデント発生後の復旧まで管理できないためです。800字以内なので、業務概要、主要なリスク、事業影響、管理態勢が必要な理由を一貫した事例として絞り込む。採点講評が指摘するように、一般的なサイバー攻撃の説明だけで終わらず、自分の設定したビジネスやサービスとの関係を明確にすることが重要です。

設問イ

設問アのリスクを前提に、PDCAの各段階について、着眼点、監査証拠、監査手続を対応付けて書く。Planでは、経営者の方針、責任者と権限、リスク評価、目標、対象範囲、委託先を含む対策計画を確認する。Doでは、アクセス管理、脆弱性対応、ログ監視、教育、バックアップ、委託先管理などが計画どおり実施されているかを見る。Checkでは、監視結果、指標、内部評価、監査結果、訓練結果、発生した事象、経営者レビューなどを確認し、リスクや目標との差異が把握されているかを確かめる。Actでは、不備や環境変化を踏まえた是正措置、優先順位、期限、責任者、再確認の仕組みを確認する。証拠として、方針・規程、リスク評価表、計画書、会議議事録、点検記録、ログ、教育記録、脆弱性対応記録、委託先評価資料などを挙げ、閲覧、質問、観察、サンプル検査、計画と実績の突合、指摘事項のフォローアップによって何を確かめるかまで具体化する。採点講評では、PDCAの一部だけの説明や一般的な情報セキュリティ対策に偏る答案が指摘されているため、四段階を循環させる記述が必要です。

設問ウ

インシデント発生時に、被害を抑え、業務を復旧・継続し、再発防止につなげられる態勢かを監査する。着眼点として、検知から報告・判断・エスカレーションまでの手順、対応責任者と連絡網、初動の封じ込め、原因究明、証拠保全、復旧優先順位、バックアップからの復元、利用者・取引先・関係機関への連絡、委託先との連携、復旧後の振り返りを挙げる。監査証拠には、インシデント対応計画、連絡先一覧、CSIRT等の役割表、監視アラートやログ、対応チケット、訓練・演習記録、バックアップ復元テスト、事業継続計画、委託契約、過去の事後報告書と改善計画などがある。監査手続では、計画と責任分担を閲覧・質問し、想定事例を用いた訓練を観察し、発見から報告・封じ込め・復旧までの時系列を記録と突合する。また、復旧目標を満たせるか、連絡先が有効か、改善事項が期限内に是正されたかを確認する。設問アのサービス影響と設問イのPDCAに結び付け、発生時の態勢を論じることが要点です。採点講評では、インシデント発生時を想定した態勢を論じていない答案が指摘されているため、予防策の列挙だけで終えない。

学習のポイント

リスク、管理策、監査証拠、監査手続を一貫して具体化する力を養う。