平成31年度春期 システム監査技術者 午前Ⅰ 問22

物理的対策の監査指摘を整理する視点

監査指摘を読むときは、観察された事実、想定されるリスク、確認対象となる管理の関係を切り分け、記録に基づいて論点を整理することを意識します。そのうえで、表現の強さと根拠の範囲が釣り合っているかを確かめます。

この問題で問われていること

一つの観点に絞り、指摘の根拠となる事実が何か、その事実からどの管理上の論点を検討するのか、判断のつながりを確認してください。推測や印象ではなく、確認可能な情報との対応を見ます。

視点

監査上の指摘は、観察内容と評価・影響・根拠を分けて読むと、論点の範囲を保ちやすくなります。重要なのは、記述の各部分が同じ前提を共有しているかを確かめることです。

確認ポイント

• 指摘として述べられている内容と、そこから導く評価を分けて読めているか
• 判断の根拠が、確認できる記録や観察事実と対応しているか
• 対象範囲を広げすぎず、問われている論点だけで比較できているか

正解

イ

解説

監査で指摘すべきなのは、機密性の高い情報資産を扱う部屋への入室に、許可者全員で共通利用する暗証番号を用いている状況です。共通認証では個人を特定できず、入室権限の管理や記録の信頼性が低下する。

理由

機密性の高い情報資産が置かれる区域では、許可された人物だけが入室できることに加え、誰が入室したかを個別に識別できる管理が重要です。共通の暗証番号は複数人で共有されるため、認証情報の利用者を特定できず、漏えいや不正利用が起きた場合の追跡も困難になる。

比較

一方、荷物の受渡し場所を情報処理施設から分離すること、機密情報資産の部屋を部外者から見えにくい場所に設けること、取引先との打合せ場所を執務室や機密資産から分離することは、物理的な露出や不要な立入りを抑える適切な対策です。

選択肢ア

これは不正解だよ。外部からの荷物を、サーバ室などの情報処理施設に入らずに積み降ろしできる場所で受け渡す運用は、搬入業者や荷物を管理区域へ不用意に近づけないための適切な物理的対策である。

選択肢イ（正解）

これは正解だよ。機密性の高い情報資産がある部屋で、入室許可者が共通の暗証番号を使うと、実際に誰が入室したかを個別に識別できない。認証情報の共有は不正利用の追跡や権限管理を難しくするため、監査上の指摘事項となる。

選択肢ウ

これは不正解だよ。機密性の高い情報資産を置く部屋を、社員以外の者から見えにくい場所に設けることは、資産の存在や状況が不用意に知られることを防ぐ物理的対策であり、設問の指摘事項には当たらない。

選択肢エ

これは不正解だよ。取引先との打合せを執務室から分離し、機密性の高い情報資産が置かれていない場所で行うことは、会話や画面、書類などが部外者の目や耳に触れるリスクを抑える適切な運用である。

学習のポイント

物理的セキュリティでは、入退室制御と個人識別の考え方を理解する。