システム監査技術者 2016年 春期 午後I 問題

共通の文章

情報セキュリティインシデント対応状況の監査に関する次の記述を読んで,設問1 て4に答えよ。 B社は,中規模のインターネットサービス企業であり,買収した国内の子会社2社 を含めて,B社グループとして事業を展開している。 [B社グループの情報セキュリティインシデント対応体制〕 B社グループは昨年4月,情報セキュリティインシデント(以下,インシデントと いう)への対応体制強化のために,B社CSIRT(Computer Security Incident Response Team)を設置した。B社グループにおけるB社CSIRTの位置付け,及び 国内外の外部CSIRTなどの外部関連組織・外部Webサイトとの関係を,図1に示す。 外部関連組織 Td!Ca ai CSIRTなど|)だを |CSなどに60(情報システム部,| CGIRTなど社内関連部署 「|||me YO ーー 広報部,法務部など)-子会社2 外部Webサイト& énee) 図1 B社CSIRTの位置付け及び外部関連組織・外部Webサイトとの関係 B社CSIRTは,B社の役員及び従業員で構成され,メンバは,最高貢任者である CIO,情報セキュリティに精通した専任社員(以下,専任社員という)2名,情報シ ステム部との兼任社員(以下,情シ兼任社員という)2名,及びインシデント対応関 連部署(広報部,法務部など)との兼任社員5名である。これらの兼任社員7 Ald, 各子会社の対応する同部署との連絡窓口にもなっている。 B社CSIRTの対応範囲は,基本的にB社グループ内であるが,必要に応じて外部 関連組織と連携して対応する場合がある。 ーー]3ーー [インシデント対応状況の監査〕 年度監査計画に基づき,B社内部監査部のシステム監査人2名が,設置後1年を経 たB社CSIRTにおけるインシデント対応状況の監査を行った。 監査の結果,判明した事項は,次のとおりである。 1)B社グループが共通で利用している電子メールシステム及びイントラネットを 除き,B社グループ各社の情報基盤は,IDSなどの検知システムを含め,それぞれ の情報システム部門が独自に管理している。検知システムは,B社CSIRT設置以 前に,B社グループ各社が導入していたものである。 (2)B社CSIRTの最も重要な役割は,情報セキュリティイベント(以下,イベント という)の認知・連絡受付から通知・報告などに至る一連の活動(以下,インシ デントハンドリングという)である。その内容を,表1に示す。 表1 B社CSIRTが行うインシデントハンドリングの内容(抜粋) (QD)検知システムによって検知され,インシデントと自動判定されたイベン 」4 AY hie+トの認知 絡受付(2)B社グループ内のヘルプデスク経由の連絡又はDNSなどのディレクトリ サービスを利用した外部連絡によるイベントの受付 (1)認知又は連絡受付済みのイベントについて,B社CSIRTが対応すおべきか aa pewどうかの判断及び必要に応じて行う連絡元への回答 (2)B社CSIRTが対応すべきイベントについて,インシデント判定マニュア ルに基づく,インシデントかどうかの最終判定及び対応の優先順位付け (1)B社グループ内で発生したインシデントについて,当該会社のシステム インシデントレス管理者などとの連携及び被害の極小化・拡大防止を図るための対応 ポンシス2)当該インシデントの影響が外部Webサイトに及ぶおそれがある場合の, 外部関連組織との情報交換及び必要な対応 B社グループ内へ|Q)B社グループ内での被害の極小化・拡大防止を図るための注意喚起 4の通知・監督官庁|(②)必要に応じて行う監督官庁への報告,メディアやーー般向けの公表など, への報告など外部への対応 (3)B社CSIRTは,イベントを“B社グループの情報セキュリティに影響を及ぼし, 重大な情報セキュリティ事故につながるおそれがある事象”"と定義している。さ bit,イベントの中でも“重大な情報セキュリティ事故に至り,B社グループに多 大な被害を与える事象”をインシデントと定義し,インシデントレスポンスの対 象としている。 om 4ビー (4)B社グループ各社の検知システムで検知されたイベントは,インシデントかど うか自動判定が行われ,インシデントと判定された場合には,B社CSIRTにも自 動的に通知される。 このときに使用される,イベントの検知基準及びインシデントの自動判定基準 は,検知システム上で設定されており,これらは,B社CSIRT設置時に一度見直 しが行われている。しかし,それ以降は検知システム上の設定が見直されておら ず,検知システムで問題が発生するおそれがある。 (5)専任社員及び情シ兼任社員は,B社CSIRTに常駐している。情シ兼任社員は, インシデントハンドリングにおいて,トリアージを含め,専任社員の職務を担当 することもある。トリアージで使用するインシデント判定マニュアルには,判定 のための確認事項及び確認方法が記述されている。このマニュアルは,トリアー ジについて高いスキルをもつづ技術者向けに策定されているので,全ての確認事項 について,詳細な確認方法が記述されているわけではない。 また,情シ兼任社員2名は,専任社員と同等のスキルをもっておらず,トリア ージを常に正確に行うのは困難と判断される。このため,確認事項によっては, トリアージが適切に行われないおそれがある。 (6)最近,B社CSIRTが,子会社のーつでインシデントレスポンスを行ったとき, ーー部のネットワーク機器が生成するログレコードの形式が,当該機器のバージョ ンアップで変更されており,そのまま使用することができなかった。その影響で, 被害範囲の特定及び対応策の検討に時間を要し,結果的にインシデントハンドリ ングの完了が遅れた。 現在の運用のままでは,インシデントが発生した場合,再度インシデントハン ドリングに支障を来すおそれがある。 (7)B社CSIRT設置の際に外部関連組織との連携体制を構築して以降,定期的な情 報交換や外部関連組織リストの更新などを行っていない。外部関連組織との連携 体制の維持・強化は,B社CSIRT運用規程で定められているが,日々発生するイ ベントの認知・連絡受付やトリアージに追われ,後回しになっている。 その結果,B社グループ内又は外部でインシデントが発生した場合,外部関連組 織との連携が迅速かつ有効に行われないおそれがある。 ー5一

共通の文章

問の2システムの移行判定の監査に関する次の記述を読んで,設問1ー4に答えよ。 D社は,クレジットカード会社であり,現在,同業E社との合併に伴うシステム 統合プロジェクト(以下,本プロジェクトという)を推進している。 D社は,5年前にも同業F社との合併に伴うシステム統合を行っている。そのとき には,移行判定が不十分なまま本番移行を実施した結果,大規模なシステム障害が 発生した。こうした経験を踏まえて,D社内部監査部長は,システム監査チームに対 して,本プロジェクトにおける移行判定の適切性を監査するよう指示した。 [本プロジェクトの概要〕 システム監査チームが予備調査で把握した本プロジェクトの概要は,次のとおり である。 (1)システム統合委員会は,本プロジェクトの重要事項を決定する会議体であり, D社及びE tt(以下,両社という)役員,両社システム部門長,両社利用統括部 門長などで構成される。 (2)システム統合は,E社のシステムをD社のシステムに片寄せして行う。 (3)システム統合スケジュールの概要は,図1のとおりである。 |5月|6月|7月|88|9月|10月|月|12月|月|2月|3月|48| 要件定義=設計(単体・結合)、(システム・運用・ユーザ受入)サ 開発及びテストMAT Ab Bi Rt CPの策定・訓練・見直し 顧客への影響告知(準備・実施)、 移行準備 A A 中間最終本番 移行移行移行 CP:コンティンジェンシープラン判定判定判定 図1システム統合スケジュールの概要 (4)各移行判定の概要は,次のとおりである。 ①移行判定は3段階に分け,中間移行判定は12 AR,最終移行判定は翌年2月 末,本番移行判定は3月末に実施する。 一7— ②各移行判定では,判定項目,判定条件,及び必要とする判定根拠資料で構成 される各移行判定基準が策定され,各移行判定の10日前までにシステム統合委 員会が承認する。 @各移行判定基準のほか,判定項目ごとに判定条件を満たしているかどうか, 判定根拠資料に基づいて確認するために,各移行判定手続が策定される。 ④各移行判定結果は,システム統合委員会が承認する。 なお,各判定根拠資料について,本プロジェクトの管理基準では,“本プロジ ェクトの各プロセスについて,部門長などの商任者が承認した証跡を,SHE 根拠資料に記録する”と定めている。 (5)統合後のシステムは,両社の合併当日(4月1日)から稼働させる。 (6)両社システム部門担当者は,システム統合に伴う顧客への影響告知の必要性を BAL,その結果に基づき,顧客影響一覧を作成した。表1にその一部を示す。 表1に関する両社システム部門担当者の判断は,次のとおりである。 ①表1の項番1,2については,両社利用部門担当者に対して,顧客への影響に 関する告知計画書の作成を依頼する。 @#1の項番3については,顧客への影響が極めて限られているので,顧客へ の影響告知は不要である。 表1顧客影響一覧(一部) et 回Miiiiiiiiiiiiiiiiiiii|ax 更される。 へ 〔中間移行判定後の監査 システム監査チームは,中間移行判定結果の適切性を確認するために,中間移行 判定後の1月上旬に,表2の中間移行判定基準,判定結果などを閲覧し,関係者に インタビューを行った。 we 表2中間移行判定基準と判定結果(抜粋) 結果 知計画書を作成している。ーー バ計お!xヽ 認している。可 Sz画どお!さヽ 承認している。ー可 監査結果は,次のとおりである。 (1)両社利用部門担当者にインタビューしたところ,表1の項番3について,顧客 への影響告知を行うべきであると考えていることが分かった。続いて,追加の監 査手続を行った結果,顧客影響一覧が適切に作成されていないことが判明した。 (2)STで検出された不具合の一部(以下,ST不具合という)が,未対応であった。 COR,システム統合委員会は,表2の項番2の判定として,“ST不具合への対 応を完了し,両社システム部門長が1月末までに承認することを条件として可と FECL”を承認していた。 (3)UAT中間報告書には,“テストケースの実施率が12月末時点の目標に対して, 約50%にとどまっている"と記載されている。すなわち,最終移行判定までに全 てのテストケースを実施することは困難な状況であった。その結果,VATA 合委員会は,表2の項番3の判定として,“テストの項目・方法・スケジュールな どの計画を見直し,両社利用統括部門長が1月末までに承認することを条件とし て可とすること"を承認していた。 [最終移行判定前の監査〕 システム監査チームは,各移行判定の概要,中間移行判定結果などを踏まえて, 監査目的を次のように設定し,2月上旬に監査を実施した。 (1)最終移行判定基準案の判定項目,判定条件,及び必要とする判定根拠資料は, 整合がとれているか確認する。 os Be 2)中間移行判定でも使用された判定根拠資料の内容が,| a| (3)最終移行判定基準案が適切に策定されていることを確認するだけでなく, 監査において,システム監査チームが閲覧した最終移行判定基準案は,表3のと おりである。 表3最終移行判定基準案(抜粋 |項番|判定項目判定条件判定根拠資料 完ee e aa UAT計画書 UATが計画どおり完了したこと。 1|UATの完了idioma YA SRR 訓練を行い,CPの実効性を確保し|CP 監査における主な指摘事項は,次のとおりである。 (1)中間移行判定後の監査]の監査結果(3)への対応結果について,両社利用統括 部門長が承認したことは,システム統合委員会議事録には記録されているが,UAT 計画書には記録されていない。表3の項番1の判定手続においては,適切なUAT 計画書を用いる必要がある。 2)表3の項番2については,訓練が行われたことを確認する判定手続だけでは, 判定条件を十分に満たしていない。追加の判定手続が必要である。

共通の文章

プロジェクト管理の監査に関する次の記述を読んで,設問+ン5に答えよ。 A法人は,ある地方公共団体の外郭団体である。A法人では,現行の基幹システム の老朽化と保守サポートの期限切れに伴い,新たに基幹システムを開発することに なった。現在,要件定義工程が終了したところである。 A法人のシステム部門は要員が少なく,開発規模が大きいことから,基幹システム 再構築プロジェクト(以下,Sプロジェクトという)では,開発及びプロジェクト管 理支援業務を外部に委託することにした。 監査部のシステム監査チーム(以下,監査チームという)は,今年度の監査計画 に従い。Sプロジェクトの管理業務及び体制の妥当性の確認を目的とするシステム臣 査を実施した。 [プロジェクトの体制 |基本設計工程以降のSプロジェクトの体制は,図1のとおりである。 (1)ステアリングコミッティは,Sプロジェクトの重要な意思決定を行う組織であり, システム担当役員,情報システム部長及び各利用部門の担当役員で構成されてい Be (2)プロジェクトマネージャ(PM)には,情報システム部のT課長が任命されてい る。 (3)開発委託先は,,サブシステムごとに分割し,W社,X社,Y社及びZ社に発注 されている。 (4)PMOの業務は,P社に委託されている。 |ステアリングコミッティ| | PM:T課長|一| pMo:r社| |we(ot)示oe| ーーーNoyes M1 Sプロジェクトの体制 =fy [プロジェクト管理基準の概要] A法人は,システム開発の経験が少ないことから,独自のプロジェクト管理基準を 保有していない。そこで,P社のプロジェクト管理基準をベースにし,A法人の要望 を取り入れた,Sプロジェクト用のプロジェクト管理基準(以下,管理基準という) を作成し,使用することにした。管理基準は,表1のとおりである。 表1管理基準(抜粋) 人 プロジェクトの体制と役割|・PMがプロジェクト管理業務を円滑に実施できる体制とすること ステアリングコミッティの|・マイルストーン,開発スケジュール,スコープ,予算などの重要事 役割項は,ステアリングコミッティが承認すること ・PMO lk,各サプチームから定型フォーマットで進捗報告書を収集す Bi a|EMO PMOは,FOYT NICBMD SMe ROE EL,PMに Glu hy 報告すること ・各工程の成果物のうち,あらかじめ指定されているものは,PM及び 4成果物の管理利用部門の責任者が承認すること ・各工程の成果物は,次工程に漏れなく引き継ぐこと (VAT LEROUHH) システム監査計画の中で策定した監査要点及び監査手続の概要は,表2のとおり である。 表2監査要点及び監査手続の概要 監査要点監査手続 、。。。|①体制図を閲覧し,関係者にインタビューして,プロジェクト VNKenMPLhrreimmeの体制が管理基準に従っているが確認する。 1|としての役釧を果たして|②進抄会識の議事銚を較覧し,課長の出席状況を確認する。 oe my 7⑬T課長にインタビューし,Sプロジェクトの円滑な管理に問 ~題がないか確認する。 ステアリングコミツテイガ"BY yo mie yRE AKL,ステアリングコミッティが役割を 理基準に記載されている役割を果たしているか確認する 果たしていること~see てOD進捗会議の議事録の閲覧及びP社へのインタビューで,PMO i 7が,管理基準どおり役割果たしているか確認する。 ①P社を含む各委託先にインタビューし,要件定義工程の成果 成果物が,管理基準に従って次、 さKiき継Ss 7:Z\ヽA 〔システム監査の結果) システム監査計画に基づいて実施した監査の結果は,次のとおりである。 Q①)表2の項番1の監査要点について,T課長は現行システムの運用の責任者を兼 務していることを,体制図の閲覧及び関係者へのインタビューによって確認した。 P社との間では週次で進捗会議が実施されており,THE,毎回進捗会議に参加 している。T課長はインタビューで“兼務していても特に支障はない"”と答えてい る。監査チームは,これらの監査手続を実施した結果,T課長が管理業務を円滑に 実施できていると判断した。 (2)表2の項番2の監査要点について,T課長にインタビューした。T課長は,“要 件定義工程終了後,スケジュールの変更が発生したので,ステアリングコミッテ ィの開催を要請し,対面で報告しようとした。しかし,出席者の都合がつかず, 書面によって審議することになり,承認されるまでに約2週間を要した"と説明 しただ。 (3)表2の項番3の監査要点について,監査チームは,管理基準,及び進捗会議の 議事録を閲覧し,PMOが管理基準に記載されている役割を果たしているか確認し た。次に,P社にインタビューし,P社がプロジェクトの推進に苦貞していること を把握した。 (4)表2の項番4の監査要点について,P社にインタビューした。その結果,要件 定義書の次工程への引継ぎに問題があり,基本設計に遅れが発生していることが 分かった。このときの社の説明は,次のとおりである。 ①要件定義工程では,現行システムの保守を担当しているG社が業務分析を行 ②つ225。 ②G社は,現行システムの機能を基に要件を洗い出し,要件定義書を作成した。 ③情報システム部長と課長が要件定義書をレビューし,承認した。 ④要件定義書に関しては,基本設計の開始前にG社から各委託先に説明があっ たが,G社は基本設計の開始後,現行システムの保守に追われ,余分の期間と要 上員を確保できなかった。その影響で,各委託先の疑問に対して,G社からは回答 が速やかに得られないことが多かった。 ー13一 [システム監査の報告] 監査チームは,監査結果を基に,監査報告書を作成した。その内容は,次のとお りである。| (1)【〔システム監査の結果](2)について,ステアリングコミッティが十分に役割を 果たしているとはいえないので,このままの体制で開発を進めた場合はリスクが 大きい。 2)〔システム監査の結果](3)について,Sプロジェクトの管理業務はP社への依 存度が高い。開発工程が進むに従って,進捗会議での報告内容は変化し,解決す べき課題も蓄積されていくと考えられる。それに伴い,発注者側の次任者であるT 課長は,進捗報告の粒度,タイミングなどの管理業務の内容を改善していく必要 MHS,監査チームとしては,進行中のSプロジェクトの管理状況の適切性を確 認するために,今後も随時フォローアップする。 3) 〔システム監査の結果](4)$について,要件定義を担当した委託先とは異なる委 託先に開発を委託する場合には,基本設計工程の計画段階で考慮しておくべきこ とがある。今回は,スケジュールへの影響に対する考慮が不十分であったと考え られる。