システム監査技術者 2023年 秋期 午後I 問題

共通の文章

クレジットカード情報保護の監査に関する次の記述を読んで,設問に答えよ。 A社は,教育関連事業を営んでおり,ECサイトを通じて多くの学習コンテンツを月 額定額制で配信している。利用料の支払方法については,口座振替のほかにクレジッ トカード(以下,カードという)などによるキャッシュレス決済を選択できる。 〔割賊販売法の一部を改正する法律の施行 カード会社,決済代行会社などは,カード業界の国際基準であるPCIデータセキュ リティ基準(以下,PCI DSSという)への準拠を求められている。令和3年4月の割 央販売法の一部を改正する法律の施行に先立ち,カード情報の適切な管理及び不正利 用防止対策の実務指針でもわる“クレジットカード・セキュリティガイドライン"(以 下,ガイドラインという)が定められ,カード加盟店は,カード情報の非保持化(以 下,非保持化という)又はPCI DSS準拠のいずれかの実施を求められるようになった。 A社は,カード加盟店のうち非対面でカード決済を行うEC加盟店に該当する。 【非保持化の実施] 非保持化とは,自社で保有する機器及びネットワークにおいてカード情報の保存, 処理及び通過を行わかいことをいう。非保持化は,PCI DSS準拠に比べて容易に実施 できるカード情報保護対策であることから,A tlt,ほとんどのEC加盟店と同様に 非保持化を実施した。非保持化に際して採用したリダイレクト型の非通過方式による カード決済の流れを図1に示す。これは,カード決済時にA社ECサイトから決済代 行会社であるB社の決済画面に画面乱移させる方式である。 =電a 利用者A社ECサイトB社カード会社 all See sae アクセスBRE決済画面"SE 支払—>ーーーーーテ—ーーーテ ol oe ma Cue© 決済に進む用者がカード O ーー— v2/—||©||Sgun|||_==TIS] 37テンツのO通知返答 学習コン©errs ART|||)Foe 画面配信 CD決済結果を受信決済結果を表示 図1リダイレクト型の非通過方式によるカード決済の流れ A社は,以前からはB社を決済代行会社として利用しており,A社ECサイトで入力さ れたカード情報をB社が受信してカード決済を行っていた。非保持化に際し,B社が PCI DSSに準拠していたことから,それまでカード情報を取り扱う業務を行っていた カスタマーサービス部は,B社の継続利用を決定した。 非保持化に伴い,カード情報を取り扱う業務がなくなったので,カスタマーサービ ス部の業務プロセスが変更された。ただし,非保持化前に取り扱ったカード情報を含 む重要書類の画像データを,非保持化後も保持している。 なお,紙,画像データ及び音声データの形で記録されたカード情報については,ガ イドラインで非保持化後も保持することが認められている。 [他社でのカード情報漏えい事故の発生] 非保持化を実施した他のEC加盟店で,カード情報漏えい事故が発生した。攻撃者 によってECサイトが改ざんされ,ECサイト上に備の決済画面へのリンクが作られた ことによって,購入者が入力したカード情報が留取されて不正利用された。さらにバ ックドアも設置され,攻撃者が継続的に侵入できる状態になっていた。 [システム監査の実施] 内部監査部長は,他社でのカード情報漏えい事故を受け,ECサイトを標的にした に4 im 攻撃に備えた情報セキュリティ対策及びカード情報保護対策の状況について,監査を 行うようシステム監査チームに指示した。 [予備調査の結果〕 システム監査チームは,情報システム部のECサイト管理者にインタビューし,At ECサイトにおける情報セキュリティ対策の項目,内容及び運用状況を表1のように まとめた。カード決済方式をリダイレクト型の非通過方式にしたことによって,カー ド情報がA社ECサイトを通過しなくなったので,非保持化に伴った情報セキュリテ ィ対策の強化は行われていなかった。また,カード情報を取り扱う業務を行っていた カスタマーサービス部が非保持化に伴って業務プロセスを変更していたことが分かっ た。 表1 A社ECサイトにおける情報セキュリティ対策の項目,内容及び運用状況(抜粋) ネットワーク型|DMにインライン接続し|誤検知が頻発し,事象解析などで管理 侵入防御システ|て,ファイアウォールで遮|者の作業負荷が高まり,運用に影響が ムの導入断できなかった不正なパケ|出ている。現在,誤検知が頻発してい ットを検知し,遮断する。|る状態を改善するために“チューニン THER”を作成している。 2内部リアルタイ|Webサーバ内の監視対象フ|次の各ファイルを監視している。 ム監視型Web改|アイルの改ざんをリアルタ|・Web画面の情報を格納しているコン ざん検知システ|イムで検知し,改ざんされテンツファイル ムの導入たファイルを自動的に復旧|・Webアプリケーションソフトウェア する。の構成ファイル ・Webサーバの0S構成ファイル [本調査の結果]〕 予備調査の結果を踏まほえ,システム監査チームは,情報システム部に加え,内部監 査部長の承認を得てカスタマーサービス部も監査対象範囲に含め,本調査を実施した。 その結果,次のような事実が判明した。 (1)非保持化前に取り扱ったカード情報を含む重要書類の画像データが,社内ネッ トワーク上のカスタマーサービス部の共有フォルダに保存されており,異動によっ て業務上,当該データを必要としなくなった従業上員も参照できる状態であった。こ ーー5ーー れによって,カード情報が禄取され,不正利用されるリスクがある。これらの画像 データは訴訟などに備えたものであり,通常業務では使用されていないので,社内 ネットワークに接続された環境で保存する必要性は低いと考えられる。 (2)業務委託契約の締結又は変更時には,契約手続の過程で,AH“情報セキュリ ティ規程"に基づく委託先の情報セキュリティ評価を行うことが,“業務委託規程" で定められている。しかし,カード決済方式の変更に伴う契約変更の際に,B社が PCI DSSに準拠しているという理由で,情報セキュリティ評価が実施されないまま, B社の継続利用が決定されていた。PCI DSSはカード情報を取り扱う環境を対象と した基準なので,B社における|a|以外の情報セキュリティ対策が,A社 “情報セキュリティ規程"で定める要件を満たさないリスクがある。 (3)ネットワーク型侵入防御システムには,不正なパケットを検知するために,攻 撃者によるアクセスに特徴的な受信データのパターンなどを定義した各種のシグネ チャが設定されている。誤検知が頻発している状態を改善するための“チューニン グ計画書"を確認したところ,運用への影響を抑えるために,シグネチャの定義を 詳細にして検知対象を絞っていた。しかし,“チューニング計画書"に記載されて いるシグネチャの定義では異なるリスクが増加する懸念があり,結果的に運用への 影響を抑えられない可能性がある。 (4)内部リアルタイム監視型Web改ざん検知システムでは,Webサーバ内の監視対 人象ファイルの新旧比較を行うので,あらかじめ監視対象ファイルの原本を別途保存 しておく必要がある。情報システム部が“改ざん監視対象ファイルリスト”を作成 しているが,最終更新日付は6か月前であり,最終更新日以降にコンテンツファイ ルの入換えによって使用されなくなった旧コンテンツファイルが監視対象として残 っていた。一方で,使用中のコンテンツファイルの一部が監視対象に含まれていな がった。

共通の文章

ローコードプノーコード開発ツールを利用したシステム開発の監査に関する次の記 述を読んで,設問に答えよ。 C社は,自動車部品を製造販売する企業である。販売,HR,生産などを管理する 基幹系システムの開発・保守は,システム部が主体となって行っている。一方,業務 効率の向上を目的とした簡易なむシステム(以下,アプリという)については,利用部 門が主体となって,プログラムのコードを書かなくても開発できるローコードグノー コード開発ツール(以下,開発ツールという)を利用して開発を行ってきた。 C社のCIOは,開発ツールを利用したアプリの開発(以下,アプリ開発という)に は利点があることは認識していた。一方で,アプリ開発の管理ルールが定められてい なければ,開発者の異動や退職みなみなどによって保守できなくなるアプリが発生するとい ったリスクがあることを懸念していた。そこでC10は,システム部にアプリ開発の管 理ルールを作成するよう指示し,システム部のシステム企画課に設置された事務局が 管理ルール案を作成した。 [アプリ開発の状況] 営業部などの各利用部門でクラウドサービス事業者と契約して開発ツールを導入し, データの照会や集計など,簡易で高い可用性を求められないアプリを中心に開発して いる。 [システム監査の目的と対象部門〕 監査部では,アプリ開発の状況を監査することにした。監査目的は,管理ルール案 によってアプリ開発のリスクが低減できるかどうか,という点である。監査部は,ア プリ開発を積極的に行っている営業部,及び管理ルール案を作成したシステム企画課 を対象に予備調査を実施した。 [予備調査の結果〕 監査部が予備調査を行った結果,次のことが分かった。 1.営業部長へのインタビュー結果 (1)アプリ開発は,短期間・低コストで,利用部門のニーズに合致したアプリが 開発できるという利点がある。 ー8一 (2)開発ツールの利用方法に習熟してもらうために,営業部の全部員に利用者用 IDとは別に開発用IDを付与している。利用者用IDでは,権限に応じてデータの 参照・更新の範囲が設定される。一方,開発用IDでは,開発を効率よく進める KO,本番環境のデータの参照が可能となる設定にしている。 2.システム企画課長へのインタビュー結果 (1)アプリ開発の利点を生かし,DO,リスクを低減するために,必要最小限の 管理ルールの作成を行う。 (2)事務局が作成した管理ルール案の概要を表1に示す。システム部が開発する アプリについても,開発コストの削減や開発期間の短縮を目的として,開発ツー ルの利用を検討している。 表1管理ルール案の概要(抜粋) 1|適用対象・利用部門によるアプリ開発の場合.,アプリの利用者は部門内であるこ とを原則とする。 ・個人情報を扱うアプリは,利用部門によるアプリ開発の対象外とす る。 2|開発申請手続|・利用部門によるアプリ開発の場合,利用部門からの開発申請に基づ き,開発可否を事務局が判断する。 ・次の項目を含む開発判断基準を設ける。 -使用するデータの種別 -想定されるデータ量(マスターファイル,トランザクションなど) -処理の複雑度(高・中・低) 3テスト・データ量が多い,又は関連データが多いアプリの開発は,。テストの実 施基準を設ける。 ・開発用IDをシステム部で管理する。 ・リリース手順及び利用者への周知手順を作成する。 開発後の管理|・開発したアプリは,管理台帳に登録して事務局で一元管理する。 ・必要最小限の設計ドキュメントを作成する。 (3)これまで開発されたアプリの中から,他のアプリでも利用可能なアプリの部 品をシステム部が選定し,動作確認や分類を行ってテンプレートとして登録する。 ーー9ーー 今後開発するアプリは,それらのテンプレートを可能な限り利用する。開発ツー ルの利用方法や登録したテンプレートの利用ルールについて,利用部門に対して 説明会を実施する予定である。 [リスクの識別〕 監査部は,予備調査の結果を踏まほえ,アプリ開発のリスクを識別し,それに対応す る管理ルール案の内容を洗い出した。アプリ開発のリスクと管理ルール案の内容を表 2に示す。 表2アプリ開発のリスクと管理ルール案の内容(抜粋) 企画・|(1)利用部門がそれぞれ独自にアプ|・アプリの開発判断基準を作成し,周知 開発リを開発し,不要なアプリが乱立す|する。 段階る。 (2)必要な設計ドキュメントが作成|・必要最小限の設計ドキュメントを作成 されなかったり,テストが不足した|する。 りして,品質が低下する。 (3)・開発用IDをシステム部で管理する。 ・開発ツールの開発用IDの登録は申請 に基づき行う。 2|運用・|(1)開発担当者の異動や退職によっ|・必要最小限の設計ドキュメントを作成 保守て,アプリの仕様が分からず保守が|FS. FSPできなくなる。・テンプレートの利用ルールを定める。 (2)システム部が開発ツールを利用|・個人情報などの重要データにアクセス して開発するアプリに管理ルール案した際の操作内容を操作ログに記録す を適用した場合,必要なセキュリテる。 ィ機能が実装されない。 [監査手続書の作成〕 監査部はリスクの高い項目について,本調査で確認すべきことを整理し,監査手続 書を作成した。その概要は次のとおりである。 (1)営業部長へのインタビュー結果(1)を踏まえ,表1の管理ルール案の適用によっ てアプリ開発の利点が損なわれる可能性がないか,管理ルール案の内容を確認する。 (2)表2項番1(1)について,開発判断基準がリスクを低減する内容になっているか, 開発の可否を判断するのに必要な項目に漏れがないことを確認する。 (3)表2項番1(2)についてシステム部に確認したところ,システム部で利用してい る開発標準を流用して進捗管理や品質管理を行う予定であるとのことであった。し かし,そのまま流用するのは適切ではない場合もあることに留意する。 (4)表2項番1(3)について,開発用IDを申請に基づいて必要最小限の部員に付与す ることでリスクの低減が期待できることに留意する。 (5)表2項番2(1)について,設計ドキュメントの作成基準として,記載が必要な項 目の一覧と標準フォーマットが示されている。この作成基準の適用が実効性のある ものかどうかを事務局に確認する。 (6)表2項番2(2)について,開発ツールには,画面操作を行った利用者用ID,操作 内容などを記録した操作ログを取得する機能が備わっている。ただし,操作ログを 取得するだけでは不十分なので,その他に必要なログの保全の要件についてもルー ルが定められていることを確認する。

共通の文章

人材管理レステムの監査に関する次の記述を読んで,設問に答えよ。 サービス業のD社は,従業員が5千人を超え,グローバルな事業拡大とともに,職 務に基づいた人材管理制度の導入を進めている。それに伴い,2年前に人材管理の業 務効率と利便性の向上を目的として,人材管理システムを再構築した。監査部では, 再構築の目的を実現できるように人材管理システムが活用されていることを確かめる ために,システム監査を実施することにした。 [人材管理システムの概要]〕 人材管理システムは,グローバルで実績があるクラウドサービスを利用して再構築 されており,人事情報管理,目標管理.,スキル管理及びタレント管理の四つの機能が HS,人材管理レステムの概要を図1に示す。 人材管理システム as『人事情報管理| 処財管理システム和財情報|ペーーその上位の管理者|ごヌはアップロード [se人ての人AM 各従業員の上長及びシステム間連携 、=。画面への 目標管理 その上長りが尿認~mm(<その上位の管理者nea 従業員が入力,ー各従業員の上長及び|-->= |スキル管理C5情報の att)全ての管理者 従業員が入力---|-ee|指示・命令を与える立場の za LE—_注り各従業員に対して,直接 管理者 管理者が入力--_(sw0STL タレント管理as SS Ags M1人材管理システムの概要 [人事部へのインタビュー〕 監査チームは,予備調査として,人材管理システムの説明資料を確認するとともに, 人事部の企画課長にインタビューを行った。その結果は次のとおりである。 (1)人事情報管理 再構築前から,各従業員の部署・役職・連絡先は全ての従業員が閲覧できたが, 人材管理システム再構築によって,各従業員の上長の役職と氏名についても,“基 ARR”CLT,全ての従業員が閲覧できるようになった。人事異動時には,AB 部がスプレッドシートで作成した“異動管理表"のデータを人材管理システムへヘア ップロードし,“HAR”を更新する。現在はアップロードの前に“暴動管理表" へ上長の役職と氏名を手作業で入力しており,その作業に数日を要している。 一方で,処山制度上の等級などは“処遇情報”として,各従業員の上長及びその 上位の管理者だけが閲覧できるように制限している。 (2)目標管理 再構築前は,人事部がスプレッドシートで作成した目標管理のための帳票に各従 業員が入力し,上長が承認して人事部へ提出していた。再構築後は,各従業員が画 面に入力し,上長が承認することで目標管理が効率的に行えもるようになった。 (3)スキル管理 D社では,人材管理システム再構築と並行して,社内の職務について職務記述書 を作成し,その中で必要スキルを明示し,従業員のスキル向上を促している。その ため,人材管理システムにおいて,各従業員の社内研修の受講歴と取得した公的な 資格の情報を管理しており,その情報は上長を含む全ての管理者が閲覧できる。 ①受講歴の情報 人事部が主催する研修の受講歴は研修管理システムで管理しており,人材管理 システムへのデータ連携によって日次で自動更新される。そのほかに各事業部門 が主催する研修があり,その受講歴は,各事業部門の研修担当者がスプレッドシ ートで作成した受講実績表*”のデータを“更新手順書"に基づいて人材管理シ ステムへアップロードして,更新される。受講歴は,更新の都度,従業員へ通知 が届き,本人が内容を確認している。結果として,従来は分散して把握しにくか った受講歴の情報が人材管理システムの中で一元的に参照できるようになった。 ②資格の情報 再構築前は人事部で管理していた資格取得の情報は,再構築後には,全ての管 理者が閲覧できるようになった。従業員が資格を取得した場合は,設定されてい る資格マスターから選択して登録する。資格マスターにない資格を取得した場合 «@= lt,追加資格として従業員が資格名称を入力して登録する。資格名称の入力につ いては決まりがなく,従業員が略称などで入力する場合もある。 (4)タレント管理 昨年から,各部署の管理者がDX推進スキルをもつ人材(LAF,DX人材という) を登録することになった。DX人材については選定基準が定められており,RBC との登録人数は,経営幹部の関心事項として管理者に対する評価項目になっている。 (5)人材管理システムの利用状況の報告 人材管理システムの利用者数の推移や再構築の効果などについては,人事部が年 1回,“利用状況報告書”"を作成して経営幹部へ報告している。 [情報システム部へのインタビュー] 情報システム部で人材管理システムの運用を行っているグループでは,定期的に従 業員の要望などを調査している。監査チームは予備調査として,そのグループの課長 に調査結果についてインタビューした。その結果は次のとおりである。 (1)多数の従業員が異動する際には,人材管理システムの“基本情報"へ異動の結 果が反映されるまでに数日を要する場合があり,業務に支障が生じることがある。 (2)特定の資格をもつ従業員が必要な場合には,従来は人事部に問い合わせていた が,人材管理システム再構築後は,管理者は自ら検索できるようになった。ただし 経営や技術の動向に対応して新設された資格について取得者を検索した場合には 実際には取得していても検索結果として表示されない場合がある。 (3)従来は人事部を介して行っていた人材管理業務の多くが,人材管理システムの 再構築後は,各職場の管理者や従業員が自ら行えをるようになった。その結果,便利 になったこともあるが,一方で人事に関わる情報の入力やその確認など,新たに各 職場で行うことになった作業も多いと感じている。 〔本調査のための検討] 予備調査の結果を基に,監査チームは本調査のための検討を行った。その内容は次 のとおりである。 (1)人事情報管理 ①多数の従業員が異動する際には情報の閲覧についてリスクがあるので,閲覧権 ー14一 限が異動日に更新されることを関係者に確認する。 ②“基本情報"が適時に更新されない問題への対処が検討されているかどうかを. 人事部と情報システム部に確認する。 (2)スキル管理 ①受講歴の情報は,更新内容を本人が確認しているので正確性は確保できている が,それだけで網維性が確保できているとはいえない。そのため,“更新手順書" を閲覧して作業内容を確かめる必要がある。 ②新設された資格の取得者を検索する際に支障が生じるリスクを低減する取組が 検討されているかどうかを,人事部に確認する。 (3)タレント管理 入力された情報の用途から,DX人材の選定基準に適合しない者を管理者が登録 するリスクがあると考えられる。そのため,管理者の上長が,管理者の登録した対 象者が選定基準に適合していることを確かめた上で承認していることを,人事部に 確認する。 (4)人材管理システム再構築の効果 業務効率向上の効果が過大に算定されている可能性があるので,“利用状況報告 書"を閲覧して効果の算定内容を確認する。