平成28年度春期 プロジェクトマネージャ 午前Ⅰ 問21

監査の着眼点とリスクの対応を確かめる

システム監査の問題では、確認しようとしている事項が、問われているリスクに直接結び付くかを見極めることが大切です。似た言葉でも目的が異なる場合があるため、何を防ぐための確認なのかを一つずつ意識して検討しましょう。

この問題で問われていること

問題の場面で懸念されているのは、どのような事態なのかをまず自分の言葉で言い表してみましょう。そのうえで、検討対象の一つ一つがその事態の発生や影響を抑えることに本当に寄与するのか、別の目的の確認ではないかを見比べる姿勢が役立ちます。

視点

システム監査では、監査人が想定するリスクによって、確かめるべき着眼点や証拠が変わります。情報セキュリティには複数の観点があり、一つの管理策がどの観点に主に役立つかは状況によって異なります。クラウドサービスのように外部の事業者が関わる場面では、利用者側と事業者側のどちらの管理を確かめるのかも整理の対象になります。検討の際は、監査の目的と確認事項との結び付きを自分で説明できるかを意識すると、判断の筋道が明確になります。

確認ポイント

• 問題の場面で防ぎたい事態を、自分の言葉で一文にまとめられたか
• 検討対象ごとに、その確認が何を防ぐためのものかを考えたか
• 言葉の印象だけで判断せず、監査の目的との結び付きを確かめたか

正解

ウ

解説

クラウド上の情報は提供事業者の設備と運営に依存して保存されている。そのため、事業者が信頼でき、事業やサービスが継続して提供されるかを検討しているかどうかが、情報消失の予防に関するチェックポイントになる。正答はウ。

理由

クラウドサービスでは、利用者の情報は事業者の設備に保存され、事業者の運営によって維持されている。事業者が信頼できない場合や、事業撤退などでサービスが継続して提供されない場合は、預けた情報が失われるおそれがある。そのため、導入検討の段階で事業者の信頼性と事業・サービスの継続性を検討しているかを確かめることは、保存情報の消失を予防するためのチェックポイントになる。

比較

アのID一元管理は認証やアカウント管理の観点、イの最大許容停止時間はサービスが停止したときの可用性・業務継続の観点、エの施設内ネットワークの暗号化通信は盗聴などを防ぐ機密性の観点です。どれもクラウド導入時に検討する価値のある事項だが、保存されている情報の消失を予防するという設問の目的とは直接対応しない。

選択肢ア

これは不正解だよ。ID一元管理は、既存の社内システムとクラウドサービスとで利用者の認証やアカウント管理をまとめる検討で、主に利便性やアクセス管理に関わる観点だよ。クラウド上に保存された情報そのものが失われないようにする予防策とは直接対応しないから、情報消失の予防に関するチェックポイントとしては適切ではないよ。

選択肢イ

これは不正解だよ。最大許容停止時間は、障害でサービスが止まったときに、業務上どれだけの停止まで許容できるかという可用性・業務継続の観点だよ。サービスが止まることと、保存された情報が失われることは別の問題だよ。停止時間を検討しただけでは情報消失の予防を確認したことにならないから、この設問のチェックポイントとしては適切ではないよ。

選択肢ウ（正解）

これは正解だよ。クラウド上の情報は事業者の設備と運営に依存して保存されているから、事業者が信頼できない場合や、事業撤退などでサービスが継続して提供されない場合には、預けた情報が失われるおそれがあるよ。導入検討の段階で事業者の信頼性と事業・サービスの継続性を検討しているかを確かめることは、保存情報の消失予防のチェックポイントとして適切だよ。

選択肢エ

これは不正解だよ。事業者施設内のネットワークに暗号化通信を採用するのは、通信中の情報の盗聴や改ざんを防ぐ、主に機密性に関わる対策だよ。暗号化によって情報は第三者に読まれにくくなるけれど、保存されている情報が失われることを防ぐ対策ではないから、情報消失の予防に関するチェックポイントとしては適切ではないよ。

学習のポイント

情報消失の予防という目的と、ID管理・可用性（停止時間）・機密性（暗号化）など他の観点を区別すること。