令和元年度秋期 ネットワークスペシャリスト 午前Ⅰ 問21

監査観点と目的リスクの対応確認

システム監査の確認観点を検討するときは、その観点がどのリスクを抑えるためのものかを先に言葉にすることが大切です。問われている監査目的と、各観点が扱うリスクの種類が一致しているかという一点に絞って検討してみましょう。

この問題で問われていること

問題が求めているのは、クラウド利用という前提のもとで、ある特定の目的に対する監査上の確認事項です。目的が変わると同じ対象でも確認すべき中身が変わるため、何を守るための監査なのかを軸にして各観点との対応を見極めることが焦点です。

視点

システム監査では、監査目的、想定するリスク、そのリスクを低減する管理策、管理策が有効かを確かめる手続という順につながりを確認するのが基本です。ある確認観点がもっともらしく見えても、それが別の種類のリスクに対応するものであれば、今回問われている目的には直結しません。まず目的を明確にし、そこから逆算して観点の妥当性を判断する姿勢が役立ちます。

確認ポイント

• 問われている監査の目的を、自分の言葉で一文にまとめられるか
• 検討中の観点が、どのような事態を防ぐためのものかを説明できるか
• その事態が、問われている目的と同じ種類のリスクといえるか

正解

ウ

解説

クラウド上の情報は事業者の設備に保存されるため、事業者を信頼できない場合や、事業撤退・サービス終了が起きた場合には、情報が失われるおそれがあります。事業者の信頼性と事業・サービスの継続性を検討しているかを確認するウが、消失予防のチェックポイントとして最も適切です。

理由

クラウドサービスでは、情報を提供事業者の設備に預けて保存します。そのため、事業者を信頼できない場合や、事業が続かずサービスが終了した場合には、保存していた情報を失うおそれがあります。導入検討の段階で「事業者に信頼が置けるか」「事業やサービスが継続して提供されるか」を検討しているかを確認することは、情報の消失の予防につながります。したがって正答はウです。

比較

アのID一元管理は、利用者の識別・認証やアクセス管理の観点です。イの最大許容停止時間は、障害時にサービスが使えない時間をどこまで許容するかという可用性の観点です。エの施設内ネットワークの暗号化通信は、盗聴や漏えいを防ぐ機密性の観点です。いずれも、保存されている情報そのものが失われることを防ぐ観点とは異なります。

選択肢ア

これは不正解だよ。既存の社内情報システムとIDを一元管理できるかどうかは、利用者の識別・認証やアクセス管理をどう運用するかという観点の検討事項だよ。問題が求めているのは、クラウドサービス上に保存されている情報の「消失の予防」に関するチェックポイントだから、ID管理の検討は情報が失われるのを防ぐことと直接には結び付かないよ。

選択肢イ

これは不正解だよ。最大許容停止時間は、障害が起きたときにサービスが使えない状態をどのくらいの時間まで許容できるかという、可用性（サービス停止）の観点の検討事項だよ。サービスが一時的に止まることと、保存されている情報そのものが失われることは別の問題だから、情報の消失の予防に関するチェックポイントとしては最も適切とはいえないよ。

選択肢ウ（正解）

これは正解だよ。クラウドサービス上の情報は事業者の設備に保存されるから、事業者を信頼できなかったり、事業からの撤退やサービスの提供終了が起きたりすると、保存している情報を失うおそれがあるよ。導入検討の段階で、事業者に信頼が置けるか、事業やサービスが継続して提供されるかを検討しているかを確認することは、情報の消失の予防に直結するチェックポイントだよ。

選択肢エ

これは不正解だよ。事業者の施設内のネットワークに暗号化通信が採用されているかどうかは、通信内容の盗聴や漏えいを防ぐという機密性の観点の検討事項だよ。暗号化は情報を第三者に読まれないようにするための対策で、保存されている情報が失われるのを防ぐ対策ではないから、消失の予防に関するチェックポイントとしては適切ではないよ。

学習のポイント

一時的な停止（可用性）、盗聴・漏えい（機密性）、ID管理（アクセス管理）と、情報そのものの消失とを区別して考えることが大切です。