応用情報技術者 試験情報＆徹底解説

情報システムのアクセス管理状況の点検に関する監査を題材として、システム監査の手続きの基本的な理解が問われています。予備調査で把握された事項を基にして、監査手続きの内容が問われる流れは従来の出題様式が踏襲されていますが、監査の対象が一つの企業ではなく、企業グループ全体とその業務委託先を対象としているのが目新しいところです。昨今の情報セキュリティインシデントの多くが業務委託先に起因していることを踏まえた出題と言えます。また、監査手続きの中では、点検の実効性が確保されているかに焦点が当てられ、点検を進める流れを説明した文書を精緻に読解する能力がモノを言うのが本問の特徴です。

〔aについて〕
空欄aの全文にある「グループ各社においてアクセス管理規程に定められた管理策が適用できない場合」について、予備調査の結果から該当箇所を探すと、〔情報システムの運用状況〕(4)が該当します。ここでは「グループ各社のシステム部が代替の管理策を申請し，P社システム統括部長の承認を受ける」という例外的な取扱いが存在することがわかります。実際に〔情報システムの運用状況〕(7)では、Q社店舗の共用PCでは、共用のID及びパスワードでログインする特別な取扱いが承認され、運用されている状況です。

一方、表1「点検表の例」を見ると、項番1は「利用者ごとのID及びパスワードを用いているか」という管理規程に従った内容となっています。例外的な運用を認めている会社や部門については、当然にその状況に応じて個別に点検のポイントを設定しなければなりません。この対応が行われていない場合、点検項目が実態と合わず、点検の実効性が失われてしまうことになります。内部監査部長はこうしたリスクを把握し、代替の管理策が適用されている場合を考慮した適切な点検ポイントが設定されているか、を確認するよう指示したと考えられます。したがって、空欄aには〔情報システムの運用状況〕(4)から抜き出した「代替の管理策の適用」が妥当します。

なお、模範解答は「代替の管理策の適用」とされていますが、「代替の管理策」または「代替の管理策の承認」としても問題ないと考えられます。

∴a＝代替の管理策の適用

〔bについて〕
文脈より、空欄bにはS社で形骸化している何かが入ります。〔点検の概要〕(4)には以下の記述があります。

• 予備調査までにS社以外のグループ各社で実施された点検では，何らかの不備が発見されていた
• S社で情報漏えい事案の発生時までに実施された点検では，派遣システムのアクセス管理策の運用状況を点検していたものの，不備は全く発見されていなかった

他のグループ各社で不備が見つかっていることから、点検プロセスの品質に問題はなさそうです。さらに、〔情報システムの運用状況〕(8)より、S社の派遣システムにはアクセス管理策の運用状況に関する不備が実際に存在していたことがわかっています。それにもかかわらず、S社のこれまでの点検で不備が発見されていなかったことは不自然です。この対比から、S社では点検が形骸化している可能性があると読み取れます。

このような状況を踏まえ、内部監査部長は、表2項番2にある点検の結果と実態の整合性の確認に関して、点検が形骸化している可能性が高いS社をサンプリング対象に含めるよう指示したと考えられます。したがって、空欄bには「点検」が妥当します。

他の選択肢に関しては、次のとおりです。
まず、「bが形骸化している」という記述から、空欄bには派遣システムのアクセス管理策として本来実施されるべき、何らかの「プロセス」が入ることがわかります。このため「ウ：情報漏えい事案」や「オ：派遣システム」は該当しません。
次に、空欄bはS社において実施すべき管理策であることから、P社内部監査部が実施する「ア：監査」や「カ：予備調査」は該当しません。
「イ：承認」については、S社を含むグループ各社のシステム部の役割は「点検を実施し，当該点検の結果，不備についての是正状況などをP社システム統括部に報告する」ことであり、承認は行わないため不適切と判断できます。

∴b＝エ：点検

〔内部監査部長の指示〕(3)は、表2項番3の監査要点に関し、外部委託先であるQ社に関する不備の是正がテーマになっていることが文面より読み取れます。外部委託先の管理及びU社の不備については、〔点検の概要〕(3)に以下の説明があります。

• グループ各社のシステム部は，顧客情報，営業情報などを取り扱う情報システムの運用，保守を業務委託する場合，点検の一環として，委託先のアクセス管理状況を確認し，P社システム統括部に報告することになっている
• Q社のシステム部からは当該点検の都度，U社におけるアクセス管理策の不備が報告されていた

Q社のシステム部からは、点検の度にU社内の不備が報告されていることから、点検は有効に実施されているものの、発見された不備が是正されていない状況にあることがうかがえます。〔点検の概要〕(1)④では「P社システム統括部は，点検に関する報告内容を確認し，必要に応じて，不備について是正を進めるよう指導，支援する」とされていますが、これが機能していません。

〔cについて〕
空欄cには、不備の是正状況を確認する対象が入ります。〔点検の概要〕(3)に「グループ各社のシステム部は，…，委託先のアクセス管理状況を確認し」とあることから、是正状況の確認についても同様に、グループ各社のシステム部が委託先に対し行うものと判断できます。したがって、空欄cには「委託先」が妥当します。

今回問題となった不備は業務委託先であるU社に存在するため、そのまま空欄cを「U社」と解答することも考えられます。しかし、空欄cは「グループ各社及び」と並列の関係にあることから、文脈上、特定の会社名ではなく外部委託先全体を対象とする表現（＝委託先）が入るのが自然です。

∴c＝委託先

〔deについて〕
空欄dの後には「Q社のシステム部に対して，eしているか，を確認する」と続くことから、是正を進めるための働きかけを行う主体が入ることがわかります。本問に登場する関係者は、P社、グループ各社、委託先の三者ですが、アクションの受動側であるグループ各社は除外できます。そうなると、P社又は委託先が解答の候補となります。

〔点検の概要〕(1)では、点検の実施及び実施後の流れが示されています。業務委託先のアクセス管理状況の確認についても、以下の点検の一環として実施されます。

1. グループ各社のシステム部は，点検表に基づき点検を実施し，当該点検の結果，不備についての是正状況などをP社システム統括部に報告する
2. P社システム統括部は，点検に関する報告内容を確認し，必要に応じて，不備について是正を進めるよう指導，支援する

一方、不備の是正に関して、委託先がグループ各社に対して行うアクションについての記述は見当たりません。

これらを踏まえると、点検で発見された不備について、グループ各社のシステム部に対し、是正を進めるよう働きかけ（指導・支援）を行う立場にあるのは、P社システム統括部であると判断できます。また、P社システム統括部が発見された不備に関して行うべきことは、上記2.より「是正を進めるよう指導，支援する」ことです。

したがって、空欄dには「P社システム統括部」が、空欄eには「是正を進めるよう指導，支援」がそれぞれ妥当します。

本来は、P社システム統括部による指導・支援によって不備は是正されていくはずです。しかし、U社において是正が進んでいない状況が継続していることから、U社の対応が遅れている場合のほか、P社システム統括部による指導・支援が十分に機能していない可能性も想定されます。そのため、内部監査部長は、本調査においてこの点を確認するよう指示したと考えられます。

∴d＝P社システム統括部
　e＝是正を進めるよう指導，支援

〔fgについて〕
〔内部監査部長の指示〕(4)では、点検対象を見直す際に、システム統括部長がどのような役割を担っているかが確認の対象となっています。予備調査の結果から該当箇所を確認すると、〔点検の概要〕(2)に「システム統括部長は，担当者から更新の内容及び理由について説明を受け，各管理表に承認したことを記録する」と記載されています。

システム監査では、まず文書を確認してコントロールが存在していることを把握し、その後、そのコントロールが適切に実施されているかを、実施者本人へのインタビュー等によって検証するのが基本的な手順となります。

点検対象の見直しに適用されているコントロールはシステム統括部長による承認であるため、空欄fには「承認の記録」が入ります。システム統括部長へのインタビューでは、このコントロールが適切に実施されているか、すなわち更新の内容や理由を理解した上で承認をしているかを確認することになります。システム統括部長の承認が形だけのものとなっていた場合、各管理表から作成される点検表も実態と合わないものとなり、点検の実効性が失われてしまうためです。したがって、空欄gには「更新の内容及び理由」が入ります。

∴f＝承認の記録
　g＝更新の内容及び理由

〔hiについて〕
空欄には、点検対象の見直し内容が、点検指示に反映されているかを確認するための情報が入ります。

〔点検の概要〕(1)①によれば、各グループの点検表はアクセス管理規程及び各管理表に基づいて作成されるとあるため、入力情報である各管理表と、出力情報である点検表を照合すれば、更新内容が正しく反映されているかを確認することができます。したがって、空欄h及びiには「各管理表」「点検表」が当てはまります。

管理表は、毎月及び報告内容に基づいて逐次更新されることから、点検表の作成者が誤って旧版を参照し、点検対象に過不足が生じるおそれがあります。実効性の観点からは重要な確認点と言えます。

∴hi＝各管理表、点検表（順不同）