令和6年度秋期 システム監査技術者 午後Ⅱ 問2

外部サービス利用時の統制確認ポイント

外部サービスを使う運用では、便利さだけでなく、責任分担・権限・記録・継続性がどのように管理されるかを、業務の流れに沿って確認する視点を持ちましょう。特に、確認可能な証跡が残るかを重視します。

この問題で問われていること

一つの観点として、委託先を含む運用全体で、誰がどの統制を担い、その実施状況を後から確かめられるかに注目し、役割と証跡の対応を整理しましょう。運用のつながりも丁寧に見ます。

視点

業務の各段階について、関係者の役割、確認のタイミング、記録の残り方を対応づけ、運用全体の整合性を考えます。

確認ポイント

• 関係者ごとの役割と責任の境界を確認する
• 実施状況を後から確認できる記録の有無を見る
• 例外時や継続困難時の確認観点を整理する

解説

外部サービスを利用する運用プロセスでは、委託元が全体のITリスクと責任分界を把握し、双方の対応策を漏れなく整備・実施することが重要です。設問では、その状況を監査する論述力が問われている。

問題の全体像

IaaS、SaaS、AMOなどを利用する運用プロセスでは、外部サービスの利用部分だけでなく、業務全体について委託元が最終責任を負う。したがって、委託元はITリスクを分析・評価し、委託先との責任分界を明確にした上で、委託元自身の対応策と委託先に実施させる対応策を整備する必要がある。さらに、委託先の対応策を継続的にモニタリングし、必要に応じて委託元の対応策を見直すことも求められる。公式出題趣旨では、こうした責任分界と対応策の適切性・網羅性、委託元の対応策の有効な運用、委託先モニタリングの適切性を確かめる監査手続を設定する力が評価対象とされている。採点講評でも、外部サービスの説明だけに偏らず、委託元の役割・責任、ITリスク、具体的な監査手続や監査証拠まで述べることが求められている。

設問ア

まず、関係する情報システムについて、利用目的、主要な機能、利用者、扱う情報、業務上の重要性などを示し、どの運用プロセスが対象かを明確にする。その上で、外部サービスが運用プロセスのどの部分に位置付けられるか、例えばインフラ、アプリケーション、保守・運用、監視、バックアップなどの役割と内容を具体的に述べる。外部サービスの名称や一般的な特徴の列挙だけでは不十分であり、自分が関係するシステムにおける委託範囲、委託元が継続して担う業務、委託先に任せる業務を明示することが重要です。後続の設問イ・ウでリスク、対応策、監査手続を展開できるよう、業務への影響が大きい機能や情報を選んで記述する。

設問イ

設問アのシステムと外部サービスを前提に、監査計画で特に大きいと判断したITリスクを一つ又は関連する範囲で具体化する。例えば、サービス停止、情報漏えい、データ消失、変更管理不備、障害復旧遅延などについて、発生時の業務影響や重要性を示します。その後、リスクへの対応策を委託元と委託先に分けて記述する。委託先のアクセス制御、冗長化、バックアップ、監視、障害対応などだけでなく、委託元の要求事項設定、権限管理、利用者管理、代替手段、復旧判断、契約・SLA管理、受入れ確認なども含める。採点講評が指摘するように、外部サービス側の対策だけに偏らず、委託元の役割・責任と、運用プロセス全体のリスクに結び付けて述べることがポイントです。委託先の責任範囲であっても、業務影響やリスクの大きさに応じて委託元が追加確認や補完策を講じる考え方を示すと、責任分界を踏まえた論述になる。

設問ウ

設問イで挙げた各対応策について、漏れなく設定されているか、実際に実施され有効に機能しているか、委託元が委託先を適切にモニタリングしているかを確かめる監査手続として書く。具体的には、リスク評価資料、責任分界表、契約書・SLA、運用手順、アクセス権一覧、バックアップ記録、障害・復旧記録、変更記録、委託先の報告書、第三者による評価・検証報告書、定期報告会議事録などを閲覧する。さらに、担当者への質問、設定値やログのサンプル検査、復旧テスト結果との照合、現地調査、委託元のモニタリング計画と実績の比較を組み合わせる。監査手続ごとに、何を確認し、どの事実をもって適切と判断するかを示すことが必要です。採点講評で重視される対応策の網羅性、委託元による実施・モニタリング、具体的な監査証拠を、設問イのリスクと一対一に対応させて記述する。

学習のポイント

外部サービスの説明、責任分界、ITリスク、対応策、監査証拠、継続的モニタリングを一つの因果関係で整理する。