令和7年度秋期 システム監査技術者 午後Ⅰ 問2 クラウドサービスを利用したシステムの監査

監査手続と確かめたい管理の対応を考える

監査の問題では、手続そのものの妥当性よりも、その手続によってどの管理の有効性を確かめようとしているのかを意識することが大切です。確かめたい対象と、得られる証拠が結び付いているかという一つの観点から、設問の内容を検討してみましょう。

この問題で問われていること

監査手続は、ある管理が意図どおり機能しているかを確かめる手段です。問われている内容について、確かめたい管理の目的と、手続によって得られる証拠がその目的を裏付けられるかという対応関係に絞って検討します。

視点

システム監査では一般に、管理の目的、その目的を妨げるリスク、リスクに対応する統制、統制の有効性を示す証拠という流れで考えます。監査手続を検討するときは、この流れのどこを確かめる手続なのかを意識すると整理しやすくなります。管理体制上の課題も同じ流れで捉え、目的を達成するための統制や証拠の入手手段が組織として確保されているかという観点で見ると、論点が散らばりにくくなります。

確認ポイント

• その手続や記述が、どの管理の目的を確かめようとしているのかを自分の言葉で言えるか
• 得られる証拠が、確かめたい管理の有効性を実際に裏付けられる内容になっているか
• 目的と証拠の対応が成り立つための前提が、管理体制として整っているかを意識したか

解説

L社のIaaSで動くK社の販売支援システムを題材に、管理コンソールのIPアドレス制限の設定漏れをきっかけとした監査で、表1の監査手続案の不足を補う問題です。問われているのは、特権アカウントの付与範囲と多要素認証の全数確認、脆弱性の緊急度に応じた対処、操作ログの改ざん防止、自動化ツールを入れるまでの人手による確認、そして管理者が1名しかいないことによる牽制不足です。どれも予備調査に書かれた事実と、表1の手続案との食い違いから導きます。

問題の全体像

K社は販売支援システムを2年前にL社のIaaSへ移しました。IaaSの管理とアプリケーションの保守はM社に委託しています。6か月前、M社の担当者が管理コンソールに接続できなくなり、S氏がIPアドレス制限を解除しました。その設定は、2か月前にセキュリティベンダーの診断で指摘されるまで戻されていませんでした。その間の3か月前には、許可していない外部IPアドレスからログインを試みて失敗した履歴も残っています。対策として、変更管理台帳への記録と、システム管理者権限アカウントへの多要素認証の必須化が行われ、設定漏れを自動で検知するツールは導入を検討している段階です。システム監査チームは表1の監査手続案を作りました。内容は、項番1が特権の不正利用、項番2が脆弱性、項番3が操作ログ、項番4が外部サービスの設定不備です。内部監査室長は、これらの不足と全体の管理体制の課題を指摘しました。出題趣旨では、IaaSを利用している組織が実施すべきコントロールが適切に整備・運用されているかを検証・評価する能力を問う、とされています。採点講評によると、全体の正答率は平均的でした。

設問1

着目点は、表1項番1の2番目の手続が『S氏のアカウントをサンプルとして』多要素認証を確かめるだけになっていることです。指示(1)は『システム管理者権限がIaaSで適切に設定されていること』の確認を求めています。予備調査(2)では、管理者権限を持つのはS氏とM社の担当者2名の計3名とされていますが、これはインタビューで聞いた回答にすぎません。そのため、IaaSの設定を見て、実際にその3名以外に権限が付与されていないことを確かめる必要があります。また、予備調査(4)②では多要素認証を『アカウント単位で』必須にしたとされています。アカウントごとに設定する方式なので、S氏だけを確かめても、M社の担当者2名のアカウントに設定されている保証はありません。公式解答例ではこの2点が挙げられています。①S氏とM社担当者2名以外に管理者権限が付与されていないこと、②M社担当者2名のアカウントに多要素認証が必須で設定されていること、です（順不同）。40字以内に収めるには、『付与範囲が3名に限られていること』と『残り2名のアカウントにも多要素認証が必須であること』をそれぞれ一文で書きます。

設問2

着目点は予備調査(5)①です。クラウド利用基準には『脆弱性の深刻度及び緊急度に応じた対処の判断基準』が示されています。ところが本システムでは、不具合が出ないと判断したセキュリティパッチを一律に『四半期ごとの定期保守に合わせて』当てています。これでは緊急度の高い脆弱性が最大で3か月ほど放置されるおそれがあり、基準に沿った運用になっていません。表1項番2の手続は、診断の実施と影響評価に基づく対処しか見ていないため、このずれを確かめられません。公式解答例では、懸念の内容を『脆弱性の緊急度を考慮せずに定期保守に合わせて対処していること』としています。採点講評でも、脆弱性の緊急度に応じた適時の対処が必要だと理解してほしい、と述べられています。35字以内の答案では、『緊急度を考慮していない』と『定期保守に合わせて対処している』の2要素を押さえます。

設問3

着目点は予備調査(5)②です。操作ログは暗号化されており、『システム管理者権限のアカウント以外では』アクセスできません。つまり、管理者権限を持つ人自身はログを触れる状態です。一方、表1項番3の手続は保管期間と保管されている量の確認にとどまり、完全性（改ざんされていないこと）は確かめていません。管理者本人が不正操作を隠すためにログを書き換えたり、誤って消したりすると、内部不正を追跡できなくなります。公式解答例では、確認すべき内容を『システム管理者権限で操作ログを変更又は削除できないこと』としています。採点講評でも、暗号化とアクセス制限は重要だが、それに加えて管理者による改ざんや誤った変更・削除のリスクを想定し、管理者権限で変更・削除ができないことを確かめる必要がある、と説明されています。30字以内の答案では、『管理者権限でも』と『変更・削除できない』を押さえます。

設問4

着目点は2つあります。1つは予備調査(4)①で、設定変更を変更管理台帳に記録するようになった一方、自動検知ツールはまだ検討中です。もう1つは(5)④で、S氏とM社は毎週定例会を開き、議事録を残しています。今回の設定漏れは、一時的に解除した設定を誰も確認せず、戻し忘れたことが原因でした。ツールが入るまでの間は、今ある仕組みを使って人の目で定期的に確かめればよいと考えられます。公式解答例では、『M社との定例会において変更管理台帳をレビューし、設定漏れがないことを確かめること』としています。45字以内の答案では、『どの場で（M社との定例会）』『何を（変更管理台帳）』『どうするか（レビューして設定漏れがないことを確認する）』の3要素を入れます。

設問5

着目点は予備調査(2)です。K社側でシステム管理者に任命されているのはS氏だけで、ほかの管理者権限はM社の担当者が持っています。今回もS氏が一人で制限を解除し、戻し忘れていました。さらに設問3で見たとおり、管理者権限を持つ人はログにもアクセスできます。この状態では、S氏の作業を社内の別の人がチェックする仕組みがなく、内部不正や誤操作を防ぐ牽制が働きません。公式解答例では、課題を『システム管理者がS氏1名のため業務に対する牽制が働かないこと』としています。35字以内の答案では、『管理者がS氏1名』という原因と、『牽制が働かない』という内部不正の観点での問題を因果関係でつないで書きます。

学習のポイント

IaaSの利用者側が責任を持つコントロール（特権ID管理、多要素認証、脆弱性対処、ログの完全性、変更管理、職務分離）について、表1の監査手続案の範囲や観点が足りているかを予備調査の事実と突き合わせて見抜く力をつけることが重点です。