応用情報技術者過去問題 平成25年春期 午後問12

⇄問題文と設問を画面2分割で開く⇱問題PDF⇱解答用紙PDF

問12 システム監査

障害管理のシステム監査に関する次の記述を読んで,設問1〜4に答えよ。

 S社は,ファッション衣類・雑貨の卸売,販売を営む会社である。社内には販売管理,購買管理,店舗運営,人事給与などのシステムがあり,システム開発部が開発・保守を担当し,システム運用部が運用を担当している。
 販売管理システムは,大手ベンダのソフトウェアパッケージを採用し,S社の独自要件に対するカスタマイズを加えて,約7年前にリリースされた。ソフトウェアの品質は安定しているが,経年劣化によるハードウェアの故障がこの数年間で増えてきている。そのうち幾つかの障害で復旧対応が遅れ,顧客への納品が遅れたり,業務に支障を来したりしていた。また,一昨年から本格的に開始したインターネット販売が好調で,1年間で取扱データ量が2倍以上に増えた。
 S社では,監査部が毎年システム監査を実施している。監査部のT部長は,部下のU君をリーダとする監査チームを作った。U君は,システムの障害管理を重点項目として,販売管理システムを対象に監査を実施することにした。システム部門であるシステム運用部とシステム開発部を被監査部署とし,利用部門の代表として営業部と経理部を調査の対象に加えることにした。U君は,監査の個別計画書を策定し,T部長の承認を受けた。

〔監査チームによる予備調査〕
 監査チームは,予備調査として,監査対象の業務やシステムに関する資料を収集し,内容を確認した。次に,被監査部署のシステム運用のコントロールに関するaを作成し,被監査部署及び利用部門に対して回答するように依頼した。
 前年度の監査報告書に目を通すと,指摘事項として"販売管理システムにおいて,システム障害の発生件数が増加しており,システムの可用性が低下していると思われる。"と書かれており,それに対する改善勧告として"システム障害の原因の分析・究明を行い,再発防止に努める必要がある。"と書かれていた。U君は,①この指摘事項に対する再発防止策が,この1年で効果的に実施されているかどうかを確認することにした。また,発生したシステム障害の原因の分析・究明,及び再発防止の状況を詳細に確認することにし,監査を進めた。

〔監査で確認した事実〕
 監査チームは,一連の監査手続の実施と関連資料の収集によって,次の事実を確認した。
  • システム障害対応手順書や緊急連絡網は明文化され,最新の状態に改訂されていた。
  • 表1のとおりに,システム障害の影響度(範囲及び重大性)を段階付けした障害レベルを設定していた。また,システム障害が発生した場合,表1の障害発生時の報告先に速やかに報告することが定められていた。
  • システム障害が発生したときの報告手段は,表1の障害発生時の報告先を宛先とした一斉メール送信であった。さらに,重要な関係者には対面や電話で報告していた。
pm12_1.gif/image-size:490×146
  • 障害報告の発信者が報告時に障害レベルを仮設定し,システム運用部がその後の障害の影響などを考慮し,必要に応じて障害レベルを変更する運用になっていた。
  • 経営層へのインタビューによると,システム障害が発生した都度,経過を含めて対応の完了まで全て報告を受けていて,システム全体で毎月 10〜20件 であった。"顧客に影響する障害を減らすことが重要である。顧客に影響しない障害レベルCの障害は,対応が完了した後に報告してくれればよい。"という発言が大半であった。
  • 事後報告としてシステム障害報告書を作成する手順になっていた。
  • システム運用部が検知したシステム障害は,その都度,システム部門の担当者がシステム障害報告書を漏れなく作成していた。
  • 利用部門から発信された障害連絡のうち,システム部門に起因する障害は,システム部門の担当者がシステム障害報告書を作成していた。一方,利用者が設定しているパラメタ類の設定誤りなど,利用部門に起因する障害は,利用部門がシステム障害報告書を作成していた。
  • システム障害報告書を管理しているシステム運用部へのインタビューによると,システム障害報告書に,障害の原因を詳細に分析して記述しているものは全体の5割程度,再発防止策まで記述しているものは全体の2割程度ということであった。
  • システム運用部は,システム障害報告書を基に,表2のとおりに事象別に障害を集計し,分析していた。利用部門に起因する障害は,障害件数の集計対象にはなっていたが,分析はされていなかった。
  • 表2を見ると,前年度の障害発生総件数は前々年度に比べて減少しているが,ハードウェア障害件数とバッチ処理の遅延件数は前々年度に比べて増加していた。
  • システム部門へのインタビューによると,ハードウェア障害の主な原因は,ハードウェアの経年劣化による故障であった。バッチ処理の遅延の原因は,②インターネット販売の取扱データ量が増加したことが要因だと推測していた
pm12_2.gif/image-size:439×173
〔監査結果の評価〕
 監査チームは,これらの事実から指摘事項をまとめ,改善勧告の草案を作成した。
  • 障害の発生総件数はこの1年間で減少しているが,システム障害報告書の記述内容やシステム運用部の障害分析報告を見る限りでは,依然としてシステム障害の原因の分析が浅く,部分的なものにとどまっている。障害の引き金となったb原因の特定にとどまらず.c原因を究明し,再発防止策を講じることが必要である。
  • 全てのシステム障害が発生時に速やかに経営層に報告されているが,③経営層は障害報告メールを読まなくなって,重要な障害報告に対する経営層の意思決定が遅れてしまう懸念がある
  • 表2の事象別の障害の集計・分析に関して,障害発生の原因やソフトウェア障害におけるバグの埋込み時期といった視点を追加し,より詳細に分析すべきである。
  • ハードウェア障害とバッチ処理の遅延の増加は,このまま放置すると重大なシステム障害につながる危険性が増す。ハードウェア障害に対しては,既に経営層から今年度中のハードウェア更改計画の承認を得ていることを確認した。バッチ処理の遅延に対しても,具体的な対策の検討が必要である。
 監査チームは,監査報告書の裏付けにするために,一連の監査手続の結果とその関連資料をdとして作成し,これらを基に監査報告書の作成に着手した。

設問1

本文中のadに入れる適切な字句を答えよ。

-解答入力欄-

  • a:
  • d:

-解答例・解答の要点-

  • a:チェックリスト
  • d:監査調書

-解説-

aについて〕
空欄を含む一文を確認すると、「被監査部署のシステム運用のコントロールに関するaを作成し,被監査部署及び利用部門に対して回答するように依頼した。」と記述されています。この記述から、空欄に当てはまるのは、本調査に先立って利用部門などに回答してもらうために作成するものとわかります。

システム監査基準(平成30年-経済産業省)では、

「チェックリスト法とは、システム監査人が、あらかじめ監査対象に応じて調整して作成したチェックリスト(通例、チェックリスト形式の質問書)に対して、関係者から回答を求める技法をいう。」

と説明されています。一般的にシステム監査においては、本問の事例のように、監査人が事前に利用部門などにチェックリストと呼ばれる質問書を提示し、その回答を参考情報として、本調査・実地調査を実施するという流れで実施されます。よって、[a]には「チェックリスト」が入ります。

a=チェックリスト

dについて〕
空欄を含む一文を確認すると、「監査チームは,監査報告書の裏付けにするために,一連の監査手続の結果とその関連資料をdとして作成し,これらを基に監査報告書の作成に着手した。」と記述されています。この記述から、空欄に当てはまるのは、以下の3点を満たすものであるとわかります。
  • 監査手続の結果をまとめたもの
  • 監査報告書の裏付けとなる資料
  • 監査報告書の基となる資料
システム監査基準(平成30年-経済産業省)では、

「システム監査人は、監査の結論に至った過程を明らかにし、監査の結論を支える合理的な根拠とするために、監査調書を作成し、適切に保管しなければならない。」

と説明されており、監査調書を、

「システム監査人が実施した監査のプロセスを記録したものであり、かつ、監査の結論の基礎となるものである」

と定義しています。このように、一般的にシステム監査では、監査手続きの過程と監査証拠を監査調書にとりまとめ、それを基に監査報告書を作成する流れになります。よって、[b]には「監査調書」が入ります。

d=監査調書

設問2

S社におけるシステム障害の分析範囲を広げ,有効な施策を実行できるようにするために,障害管理についてどのような改善をすべきか,30字以内で述べよ。

-解答入力欄-


-解答例・解答の要点-

  • 利用部門に起因するシステム障害も分析対象にする (23文字)

-解説-

障害管理における改善内容について解答する設問です。設問に「システム障害の分析範囲を広げ,」とあるので、この点に注意して解答する必要があります。

障害管理の現状について確認すると、S社ではシステム障害報告書を作成する手順になっており、障害に応じてシステム部門と利用部門で作成を分担していることがわかります。
システム部門が作成するもの
・システム運用部で検知したシステム障害
・利用部門から発信された障害連絡のうち、システム部門に起因する障害
利用部門が作成するもの
・利用部門から発信された障害連絡のうち、利用部門に起因する障害
しかし、〔監査で確認した事実〕に「利用部門に起因する障害は,障害件数の集計対象にはなっていたが,分析はされていなかった。」とあり、利用部門で作成されたシステム障害報告書については分析対象になっていないことが読み取れます。表2「事象別の障害件数」を見ると、利用部門に起因する障害の件数はそれなりに多いので、特に理由なく分析対象から外している現状は、障害管理として適切ではないと判断できます。

以上より、設問の条件を踏まえ、この分析対象外となっている「利用部門に起因する障害」も分析対象に含め、分析範囲を広げることが改善提案として考えられます。分析範囲を広げることで、システム障害の削減のためのより有効な施策が立案・実行できるようになると考えられるからです。

∴利用部門に起因するシステム障害も分析対象にする

設問3

障害の原因分析・究明,及び再発防止について,(1),(2)に答えよ。
  • 本文中のbcに入れる適切な字句を答えよ。
  • 本文中の下線①について,販売管理システムの可用性を損なうシステム障害に対する再発防止策の効果を定量的に確認する手段として,最も適切なものを解答群の中から選び,記号で答えよ。
解答群
  • システム障害報告書上の承認体制と承認状況の確認
  • システム障害報告書上の障害の原因及び停止時間の記載有無の確認
  • 前々年度と前年度の稼働率の予測値の比較
  • 前々年度と前年度の事象別障害発生件数とシステム稼働時間の比較
  • 前々年度と前年度の利用部門からの障害報告数の比較

-解答入力欄-

    • b:
    • c:

-解答例・解答の要点-

    • b:直接
    • c:根本

-解説-

  • bcについて〕
    2つの空欄を含む一文を確認すると、「障害の引き金となったb原因の特定にとどまらず,c原因を究明し,再発防止策を講じることが必要である。」と記述されています。

    システム障害において、直接的に障害の引き金となった要因を直接原因、本質的に障害発生に起因した要因を根本原因と呼びます。再発防止策では、この根本原因を防ぐための対策を打ち出す必要があります。したがって[b]には「直接」が、[c]には「根本」が入ります。

    なお、直接原因と根本原因は各種規格や基準等で明確な定義があるわけではないので、同じ意味を持つ字句なら正解になると思われます。一般的な障害管理の知識から解答する設問と言えるでしょう。一応、IPA「情報処理システム高信頼化教訓集」の中では、直接原因及び根本原因について「問題事象を引き起こした直接の原因(直接原因)を見つけ、さらに直接原因を引き起こした原因を見つけるという手順をくり返し、本質的な原因(根本原因)を見つけ出す。」と説明されており、直接と根本の定義を見つけることはできます。

    b=直接
     c=根本

  • 再発防止策の効果を確認する手段について、適切なものを選択肢で解答する設問です。時系列がややこしいですが整理すると以下の通りです。
    前年度
    前々年度実績について監査を実施、改善勧告、再発防止策を実施
    今年度
    前年度実績について監査を実施中
    設問文で「下線①について」と記述されているので、下線①を確認すると「この指摘事項に対する再発防止策が,この1年で効果的に実施されているかどうかを確認する」と記述されています。この記述から、前年度に実施した再発防止策の効果が確認できる手段を選択する必要があります。また、下線①の改善勧告は「システムの可用性が低下している」ことに対するものです。よって、可用性が改善されたかどうかを定量的に確認できる指標でなければなりません。

    前々年度に比べて、前年度で発生した障害件数が減っていれば、再発防止策の効果があることが確認できます。しかし、これだけでは可用性が向上したかどうかまでは確認できません。可用性は、利用者が必要な時にシステムを利用可能である度合いであり、稼働率がその指標になります。よって、障害件数と稼働率の2点について前々年度と前年度の実績値を確認することで、実施された再発防止策が効果的だったかを確認することになります。

    ∴エ:前々年度と前年度の事象別障害発生件数とシステム稼働時間の比較

    解答群のその他の記述は以下の点で不適切です。
    • 可用性と関係がなく、再発防止策の効果を定量的に測ることができないので不適切です。
    • 記載の有無を確認しただけでは再発防止策の効果を定量的に測ることができないので不適切です。
    • 予測値ではなく実績値を比較しなければ意味がありません。
    • 正しい。
    • 障害件数の増減だけでは可用性を定量的に測ることはできません。また、障害件数にはシステム運用部で検知したものも当然に含めるべきですから、集計対象を利用部門からの障害報告だけに限定している点でも不適切です。

設問4

障害報告書の作成に関連して,(1),(2)に答えよ。
  • 本文中の下線②を裏付けるためにどのような分析を行えばよいか,分析の対象とする項目を含めた分析の視点を,40字以内で述べよ。
  • 本文中の下線③の事象に対して監査チームが行うべき障害発生時の報告に関する改善勧告を,30字以内で述べよ。

-解答入力欄-



-解答例・解答の要点-

    • インターネット販売の取扱データ量とバッチ処理に要する時間の相関 (31文字)
    • 経営層に報告する対象を障害レベルB以上にする (22文字)

-解説-

  • 設問文中に「下線②を裏付けるために」と記述されているので、下線②を含む一文を確認すると「バッチ処理の遅延の原因は,インターネット販売の取扱データ量が増加したことが要因だと推測していた。」と記述されています。これより、バッチ処理の遅延がインターネット販売の取扱データ量増加によるものであるという推測を裏付ける分析を解答する必要があります。

    2つ以上の要因があり、その一方の変化がもう一方の変化にどの程度影響を与えているかを分析することを相関分析と言います。本問では、インターネット販売の取扱データ量とバッチ処理の時間の関係性を裏付けたいので、両者の相関関係を調べることになります。両者の相関が強く、インターネット販売の取扱データ量が増えるにつれ、バッチ処理の時間がその分伸びていれば、バッチ処理の遅延がインターネット販売の取扱データ量増加に基因すると言えるでしょうし、そうでなければバッチ処理の時間は別の理由によるものであると結論付けられます。

    ∴インターネット販売の取り扱いデータ量とバッチ処理に要する時間の相関

  • 設問文中に「下線③の事象に対して」と記述されているので、下線③を含む一文を確認すると「経営層は障害報告メールを読まなくなって,重要な障害報告に対する経営層の意思決定が遅れてしまう懸念がある。」と記述されています。

    表3で現状の障害報告のフローを確認すると、障害のレベルにかかわらず、経営層に対してシステム発生、経過、対応、完了までを報告するようになっていることがわかります。また、経営層へのインタビューでは「"顧客に影響する障害を減らすことが重要である。顧客に影響しない障害レベルCの障害は,対応が完了した後に報告してくれればよい。"という発言が大半であった。」という情報を得ています。

    これらの記述から、経営層は現状の粒度での報告は過剰だと考えており、特に障害レベルCの障害についての逐次報告は不要だと考えていることがわかります。このように、不要な報告まで意思決定者に対して行われていると、報告自体の意義が弱くなり、真に必要とされる情報のキャッチや重大な障害についての意思決定が遅くなってしまう弊害があります。この対策としては、経営層が不要だと感じている障害レベルCについてはシステム障害報告書による完了報告だけに留め、障害レベルB以上のみ報告対象とするべきです。

    ∴経営層に報告する対象を障害レベルB以上にする
問12成績

平成25年春期 午後問題一覧

問1 問2 問3 問4 問5 問6 問7 問8 問9 問10 問11 問12 採点講評
© 2010-2021 応用情報技術者試験ドットコム All Rights Reserved.

Pagetop