システム監査技術者 2025年 秋期 午後I 問題

共通の文章

オープンAPI態勢の監査に関する次の記述を読んで,設問に答えよ。 A銀行は,以前から個人預金者(以下,顧客という)向けにインターネットバンキ ングによるサービス(WF,IBサービスという)ELT,口座残高,入出金明細な どの照会サービス,及び振込,振込状況確認などの決済サービスを提供している。数 年前からオープンAPIを利用してIBサービスの利便性向上を図っており,顧客はフ ィンテック事業者が提供するスマートフォンやタブレット向けのアプリケーションソ フトウェア(UE,アプリという)からIBサービスを利用できるようになった。 [オープンAPIを利用したITBサービスの概要〕 A銀行がAPIを公開し,フィンテック事業者が提供する通帳,家計簿,決済などの アプリが,顧客の操作に応じてA銀行の1BサービスにオープンAPI経由でアクセス して結果を顧客に返す。当該アアプリによるIBサービスへのアクセスは,A銀行とオ ープンAPI利用契約を締結したフィンテック事業者に対して,A銀行がアクセストー クンを発行することによって許可される。アクセストークンは,A銀行のBサービ ス利用に係る顧客との同意に基づく許可証であり,これによってフィンテック事業者 のアプリがアクセスできる1Bサービスの範囲が決定される。 [金融オープン・イノベーションの推進 現在,インターネット経由で銀行口座の情報を取り扱うサービスを提供するフィン テック事業者には,電子決済などの代行業者(以下,電代業者という)としての登録 が義務付けられている。また,銀行には努力義務として,オープンAPIを活用してセ キュリティを確保しつつ電代業者との協業や連携を促進するオープンAPL態勢の整備 が求められている。 (A銀行のオープンAPI態勢〕 A銀行のTBサービスに係るオープンAPI態勢は,次の各機能から構成される。 (1)IBサービスの企画・改善 リテール業務部は,オープンAPI経由で顧客に提供する1Bサービスを企画する。 また,電代業者からの要望などを参考に,新規TBサービスの企画や現行TBサービ ー2一 スの改善を検討する。企画及び改善の内容は,1Bサービス要件定義書にまとめら れる。オープンAPIに係る新規公開,仕様変更及び廃止の通知は,実施の1か月前 までに4銀行のホームページに掲載されるとともに,オープンAPI利用契約を締結 している電代業者に送られる。 (2)オープンAPIの設計・開発・保守 情報システム部は,1Bサービス要件定義書を基にオープンAPL仕様書を作成し, オープンAPIの開発及び保守を行う。当該仕様書は,処理の詳細,処理を制御する パラメータと指定可能値,接続方法などを記載したものであり,オープンAPIの仕 様変更やバグ修正に伴って改訂される。 (3)オープンAPIの運用 情報システム部は,オープンAPI運用手順書に沿って,新規公開及び廃止を含め て運用を行う。運用ではオープンAPIが稼働するサーバ(以下,APIサーバという) の負荷状況,接続焦断などの各種イベントの発生状況,オープンAPI経由のアクセ ス状況が監視される。また,その結果は月次でオープンAPI運用報告書にまとめら れ,情報システム部内で回付される。 (4)オープンAPIの接続審査 情報システム部は,公益財団法人金融情報システムセンター発行の“API接続チ ェックリスト"を基に,A銀行独自のAPI接続チェックリスト(以下,チェックリ ストという)を作成している。公開しているAPIに対する電代業者からのオープン API利用申請があった場合には,チェックリストを用いて,電代業者における情報 セキュリティ対策の状況,認識している課題,課題への対応計画などについて審査 を行う。そして,顧客情報の安全な提供が可能であることを確認した上でオープン API利用契約を締結する。 [システム監査の実施指示〕 内部監査部長は,オープンAPI利用契約を締結する電代業者が増加してきたことか ら,オープンAPI態勢の各機能が有効に働かない場合に電代業者及び顧客に及ぼす影 響を懸念した。そして,オープンAPI態勢の各機能の状況について監査を行うようシ ステム監査チームに指示した。 ー3ニー [予備調査の結果] システム監査チームは,オープンAP]態勢の各機能を担うリテール業務部及び情報 システム部に対して予備調査を実施し,把握した状況を表1にまとめた。 表1オープンAPI態勢の各機能の状況(抜粋) 1 IBサービスの企|提供している各ITBサービスの利用状況を分析することによって, 画・改善今後の顧客の利便性向上に役立つサービスを検討している。 2オープンAPIの設|自行のデータやシステムへの接続仕様を公開するので,アクセス 計・開発・保守トークンで許可された範囲を超えるアクセスが,電代業者からで きないようにするなど,セキュリティの確保に重点を置いてい Ds 3オープンAPIの運|APIV—-/ANOWSAAAMCKHMlC,APIサーバで単位時間当たりに 用受け付けるオープンAPI接続リクエスト数の制限(以下,APIレ ート制限という)を行っている。 4オープンMIの接|電代業者からのオープンAPI利用申請が増加しており,情報シス 続審査テム部によるチェックリストを用いた審査の負荷が高まっている OC,審査の効率向上を図りたいと考えている。 [本調査の結果〕 システム監査チームは,本調査を実施し,指摘事項及び改善提案を次のようにまと めた。 (1)オープンAPI運用報告書が情報システム部内での回付にとどまっており,オー プンAPL態論において有効利用されていない。当該報告書にはオープンAPI経由の アクセス状況が記載されているので,他に有効利用できる余地がある。 (2)オープンAPI態勢における電代業者との協業や連携の促進の観点からは,セキ ュリティの確保だけでなく,電代業者におけるアプリ管理への影響を抑えるために 次の事項を考慮する必要がある。 (a)オープンAPIの仕様変更が頻繁に発生しないような設計にすること (b)オープンAPIの仕様変更が行われた場合,それによって電代業者がTBサービ スを利用できなくなることを防ぐこと (3)APIレート制限値を超えた場合には,エラーメッセージがアプリに返され,オ ープンAPIへの接続が一時的に遮断されるが,APIサーバの能力に余裕がある状態 でも接続が遮断される事象が発生している。DDoSなどのサイバー攻撃や不正アク =4 ms セスの検知,及びそれに伴う接続人遮断の形跡がないので,APLサーバで設定されて いるAPIレート制限値が適切でない可能性がある。PBR BM ICES IBサー ビス提供の中断を避けるために,APIレート制限値のチューニングが必要である。 (4)チェックリストによる審査に時間を要しており,契約の可否判断が遅れる傾向 にあるので,IBサービスの利用開始に関して,直接的には電代業者,間接的には 顧客に影響た及ぼすおそれがある。チェックリストの各確認項目を同等に取り扱う のではなく,アクセストークンに基づくリスクベースアプローチによって,審査の 効率向上を図る必要がある。

共通の文章

クラウドサービスを利用したシステムの監査に関する次の記述を読んで,設問に答 えよ。 K社は,事務機器を製造し,販売店経由で販売している企業である。K社の情報シ ステム部は,販売店を支援するために,専用Webサイトで受発注,納期回答などの機 能を提供する販売支援システム(以下,本システムという)を構築し,運用している。 本システムはK社が保有すするシステム基盤上で稼働していたが,システム管理の負荷 とコストの軽減を目的として,2年前にL社のIaaSに移行した。 移行後,大きな障害はなく順調に稼働していたが,2か月前に,laのシステム管 理に使用するコンソール(以下,管理コンソールという)のアクセス制御において IPアドレス制限の設定漏れが見つかった。幸いにも情報の漏えい事故にはつながら なかったが,他社ではクラウドサービスの設定漏れを起因とした事故が多発している。 そこで,【K社の内部監査室のシステム監査チームは,IaaSを利用する際のリスクに対 LT,本システムの管理が適切に行われているかどうかを監査することとした。 [予備調査の結果〕 システム監査チームは,情報システム部から本システムに関する資料を入手すると ともに,情報システム部長にインタビューを行い,本システムの概要と設定漏れの経 緯を調査した。その結果の抜粋は次のとおりである。 (1)本システムの概要 本システムの利用者は,当社の従業員及び販売店である。L HO IaaS上で稼働 するアプリケーションシステム(以下,アプリケーションという)は外部委託先で あるM社が開発している。製品情報,受発注情報,販売店情報などがIaaS上のス トレージに保管されている。 (2)本システムの管理体制 情報システム部のS氏がシステム管理者として任命されている。また,IaaSの 管理業務とアプリケーションの保守業務はM社に外部委託されている。インタビュ ーの回答によると,RE,IaaSのシステム管理者権限を保有しているのは,S氏及 UM社の担当者2名の計3名である。 ー6一 (3)設定漏れの経緯 2か月前に,情報システム部がセキュリティベンダーに委託して,K社のシステ ムに対する社外からのネットワーク診断を実施した。CORR,本システムの管理 コンソールへのアクセスについて,IPアドレス制限が設定されていないとの指摘 を受けた。 管理コンソールでは,仮想マシン,アクセス制御,ログ,BR,NY DPIY TK どのIaaSの管理に係る重要な設定が行われる。そのために,IaaSの利用開始時か ら,K社とM社の接続元I『アドレスだけにアクセスが制限されていた。 しかし,6か月前の定期保守の際に,M社の担当者が管理コンソールに接続でき なくなる事象が発生したので,M社から連絡を受けたS氏がIPアドレスの制限を 解除する設定を行い,対処した。その後,セキュリティベンダーから指摘を受ける まで,この設定を戻していなかった。 S氏がログを確認したところ,3か月前に,許可していない外部の接続元IPアド レスから管理コンソールへのログインを試みたものの,失敗した履歴が残っていた。 (4)セキュリティ強化策 今回の設定漏れを踏まえて,情報システム部で次の二つの対策を行った。 ①管理コンソールでlaaの設定をする際は,変更管理台帳にその記録を残すよ うにした。これに加えて,今回のような設定漏れを自動検知し,システム管理者 に通知する自動化ツールの導入を検討中である。 ②システム管理者権限のアカウントについて,IaaSの機能として利用できる多 要素認証をアカウント単位で“必須"に設定し,セキュリティを強化した。 (5)その他のシステム管理状況 ①K社の“クラウドサービス利用に係る情報セキュリティ基準"(以下,クラウゥ ド利用基準という)では,IaaSを利用したシステムについて,ゲスト0Sやミド ルウェアなどのソフトウェアの脆弱性診断を毎月実施することが定められている。 また,発見された脆弱性の深刻度及び緊急度に応じた対処の判断基準が示されて いる。本システムも毎月脆弱性診断を実施しており,発見された脆弱性の対処に 伴い不具合が発生しないと判断したセキュリティパッチは,四半期ごとの定期保 守に合わせて適用する対処をしている。 ②緊急時に備え,IaaSの監査ログ機能を使用して,システム管理者権限の操作 ー7ァー ログを1年間取得している。なお,操作ログは暗号化され,システム管理者権限 のアカウント以外では操作ログヘへアクセスできない。 ③しL社の責任範囲であるデータセンターやハードウェア,ホストOSなどのセキ ュリティ管理状況については,L社の外部監査人による保証報告書がL社から提 供されている。 ④M社とは,IaaSの管理業務とアプリケーションの保守業務に係る業務委託契約 を締結している。S$氏とM社とは毎週定例会を実施しており,業務の実施状況や 課題などを議論し,議事録が残されている。 〔監査手続の検討] システム監査チームは,予備調査の結果を踏まほえて,想定されるリスクの洗い出 しと監査手続の検討に着手した。監査手続案を表1に示す。 表1監査手続案(抜粋) 監査手続案 1システム管理者権限が|・IaaSの設定を目視で確認し,管理コンソールへのアクセスが 不正に利用され,情報K社及びM社の接続元IPアドレスに制限されていることを確 漏えいやシステム障害かめる。 が発生する。・S氏のアカウントをサンプルとして管理コンソールへのログ インテストを実施し,多要素認証が要求されることを確かめ る。 2脆弱性を突いたサイバ|・脆弱性診断の記録を閲覧し,毎月脆弱性診断が実施されてい ー攻撃を受け,情報漏ることを確かめる。 えいやシステム障害が|・脆弱性対処の記録を閲覧し,本システムへの影響評価に基づ 発生する。き対処されていることを確かめる。 3システムの操作ログが|・IaaSの設定を目視で確認し,システム管理者権限の操作ログ 残らず,内部不正やサの保管期間が1年間に設定されていることを確かめる。 イバー攻撃が追跡でき|・操作ログの確認画面を目視で確認し,システム管理者権限の ない。1年間分の操作ログが保管されていることを確かめる。 外部サービスのセキュ|・L社の保証報告書を閲覧ししセキュリティ管理上の不備が発 リティ設定に不備があ生していないことを確かめる。 り,情報漏えいやシス|・M社との業務委託契約書を閲覧し,業務委託内容と責任範囲 テム障害が発生する。が合意されていることを確かめる。 [内部監査室長の指示] 内部監査室長は,予備調査の結果と表1をレビューして,次のとおり監査チーム ーーー:8 cae に指示した。 (1)表1項番1について,現在の監査手続案では不十分である。システム管理者権 限がIaaSで適切に設定されていることを確かめる監査手続を盛り込むこと。 (2)表1項番2について,予備調査の結果を踏まえると,現在のコントロールには 懸念がある。実施されているコントロールの詳細を確かめること。 (3)表1項番3について,現在の監査手続案では不十分である。システム管理者の 権限に関して,保管されている操作ログの完全性が確保されていることを確かめる Cie g (4)表1項番4について,設定漏れを検知する自動化ツールが導入されるまでの間, 実施可能な対策が講じられていることを確かめること。 (5)全体に係る内容として,予備調査の結果を踏まえると,K社の本システムの管 理体制は内部不正の観点で課題があるので,今後の対応方針や計画を確かめること。

共通の文章

T投資計画の監査に関する次の記述を読んで,設問に答えよ。 R社は,中堅の食料品製造・販売業者である。R社では,近年のデジタル化の波に 対応して企業変革を推進するべく,新規のIT投資計画を複数策定している。監査部 lt,IT投資計画が適切に作成され,経営陣に十分な判断材料が提供されているかど うかをテーマにシステム監査を行うことにした。今期計画されているIT投資案件の 中から経営陣からも期待が高い案件である,基幹システムとデータ連携を行う消費者 向けオンラインショッピングシステム(UF,ECシステムという)の構築案件を監 査対象として選定した。 [予備調査の結果] 監査部は予備調査として,“IT投資計画書"の閲覧,DX推進室を中心とした関係者 へのインタビューを実施し,ECシステムのIT投資計画(以下,本計画という)OF 要を調査した。その結果は次のとおりである。 (1)導入目的 ECシステムは,社外から人材を採用して新設されたDX推進室がシステムオーナ ーとなり,営業本部及び情報システム部と協力して導入する予定である。ECサイ トを構築し,販売チャネルの拡大による売上増大,販売データなどを基にした新商 品開発の意思決定の迅速化を行うことによって中期経営計画で定めた売上増大及び 利益率向上を図るものである。 (2)システム概要 ①ECシステムは大手ベンダーS社製のECパッケージをカスタマイズして導入す る予定である。ECパッケージを採用することによって標準的な機能や定期的な バージョンアップが提供され,またR社として初めてIaaS上に構築されるシス テムとなる。ECシステム及び基幹システムの概要は図1のとおりである。 ②ECシステムの稼働直後は,一部商品から試験的に利用を開始し,その後対象 商品を拡大していく計画である。ECシステムで使用するIaaSの処理能力,スト レージ容量などのリソースは,ECシステムの対象商品及び利用者の増加に応じ て増強していく予定である。 ③既存の基幹システムはオンプレミスで開発・導入したシステムである。本計画 ー19一 Cla,IaaS上のECシステムの導入・カスタマイズ,基幹システムのデータと IaaS上のECシステムのデータを連携する機能(LAF,データ連携機能という) の開発を,S社に外部委託する。 ④ECシステムと基幹システムとのデータ連携は,基幹システムの改修をできる だけ抑える方針であり,リアルタイムではなく日次のファイル連携処理で行う計 画になっている。なお,基幹システム側の改修は情報システム部が行う計画であ るが,情報システム部の業務が多忙であることから,改修範囲は要件定義段階で 特定することになっている。 ⑤ECパッケージのカスタマイズは,R社独自の商品カテゴリの構成変更や決済方 法の追加,配送条件の個別設定などが予定されている。本番稼働後に,ECシス テムの利用状況や効果などを踏まえて,DX推進室と営業本部が協力して追加の カスタマイズを予定している。 IaaS dae wha si 連携 cr mal基幹システム 営業本部 オンプレミス 図1 ECシステム及び基幹システムの概要 (3)TIT投資の評価 ①R社では“投資管理規程"においてIT投資の評価基準として回収期間法を採 用している。本計画の投資回収見込みは表1のとおりである。投資回収見込みに |よれば,データ連携機能の開発を含むECシステムの開発導入投資額と毎年のラ ンニングコストは,計画どおりに売上増大及び利益率向上が実現すれば3年間で 回収できる見込みである。R社では投資判断基準としての回収期間について5年 以内を目安としており,それよりも短い期間で回収可能と評価されている。 ー11一 ②開発導入投資額はS社が作成した見積り資料を基にDX推進室が算定したもの である。 ③ランニングコストの内訳は,IaaSの利用料,ECパッケージの保守契約費用で HS,laaSの利用料は,使用する処理能力やストレージ容量などに応じた従量 制による課金となかっている。ECパッケージの保守契約の対象は,.サポートデス クの問合せ対応及び問題発生時の調査・対応だけである。 ④利益増加見込みは,経営会議で報告されたR社における過去の販売実績データ 及びS社が他社事例を基に作成した平均的な売上増加率に基づき,DX推進室が 独自に試算したものである。ECシステムを活用した販路拡大によって見込まれ る売上増大,販売データなどを基にした新商品開発による利益率向上を予測し, 試算した。 ⑤ECシステムが本番稼働した1年後に,DX推進室と営業本部が本計画の投資評 価を実施し,経営陣へ報告する予定である。 表1投資回収見込み 単位FA 本番稼働時点 開発導入投資額|3%999|。 -| -|-| |ランミングコスト| -|459|se@|ss Oa 利益吉見込みGRAM|-|iewoee|iso9|20,000, キャッシュフローA30,000 5,500 10,000 14,500 (@-@) |投入回収見込み。|43%0|424500|Ai%590|el 注記本問では金利及び為替は考慮しかないものとする。金額はキャッシュフローベースである。 [本調査に向けた監査手続の検討〕 監査部は,予備調査の結果を踏まえて,本調査に向けて,次のように監査手続の 検討を行っている。 (1)ECシステムはECパッケージを導入する計画となっている。システム概要で把 握した内容を基にすると,ECパッケージの保守契約費用に必要な項目が網羅的に 含まれていないリスクがあるので,確認する必要がある。 (2)ECシステムと基幹システムのデータ連携について,表1の開発導入投資額だけ では,支出額が低く計上されるリスクがあるので,追加の確認が必要である。 (3)ECシステムは当社として初めてIaaS上に構築するシステムであり,不正アク セスによる情報漏えいなどのリスクがある。S SHO ECパッケージを導入するに当 たり,ECシステムの情報セキュリティ対策に漏れが生じないようにする必要があ る。その観点からR社の情報セキュリティ対策に係る支出額が適切に計上されてい ることを確認する必要がある。 (4)表1の利益増加見込みは,DX推進室が独自に試算した売上増大及び新商品の開 発による利益率向上の実現可能性が十分に検討されていることが重要と考えられる。 それについて追加の確認が必要である。 (5)ECシステムの本番稼働後における本計画の投資評価が不十分となるおそれがあ る。十分な投資評価が行われるのかどうかを確認する必要がある。