応用情報技術者過去問題平成27年秋期午後問11(システム監査)

応用情報技術者過去問題平成27年秋期午後問11

問11　システム監査

コンピュータウイルス対策の監査に関する次の記述を読んで，設問1～4に答えよ。

　S社は，広告業を営む中堅企業である。S社では，最近，ある従業員が顧客に渡したUSBメモリがコンピュータウイルス(以下，ウイルスという)に感染していたということが，顧客からのクレームによって分かった。S社で調査した結果，当該従業員は，"委託先事業者にデータ加工を依頼するために，当該データを会社支給のUSBメモリに入れて渡した。その後，委託先事業者からUSBメモリを受け取り，データの内容を確認した後，当該USBメモリを顧客に渡した"とのことであった。
　S社では，この事故を重く受け止めて，情報システム部門が中心になって事故の再発防止策の策定及び現状のウイルス対策の見直しを行うことになった。また，監査部においても，事故原因，ウイルス対策の状況などについて確認し，その結果を情報システム部門が行う再発防止策の策定及び現状のウイルス対策の見直しの検討に役立てることになった。監査部長は，U君をリーダーとする監査チームを編成した。

S社で使用しているウイルス対策ソフトの機能は，次のとおりである。
1. サーバのウイルス対策ソフト及びそのパターンファイルは，設定した時刻に自動的に更新されるようになっている。また，PCのウイルス対策ソフト及びそのパターンファイルについては，PCを社内LANに接続した時点で自動的に更新される。ウイルス対策ソフトには管理ツールが提供されており，ウイルス対策管理サーバ内に蓄積される情報をウイルス対策管理者用PCから検索して，サーバ，PCのウイルス対策ソフト及びパターンファイルのバージョンを確認することができる。
2. ウイルス対策ソフトは，サーバ，PCのメモリ上に常駐し，リアルタイムでウイルススキャンを行うとともに，ハードディスクのウイルススキャン(以下，ハードディスクスキャンという)を自動又は手動で行うことができる。
  　なお，ハードディスクスキャンの自動実行日時は，PC設置時に，毎週月曜日の正午に設定されており，利用者は変更できないようになっている。ただし，その日時に起動されていないサーバ，PCでは，ハードディスクスキャンは実行されない。
3. サーバ，PCには，ウイルス検知の状況，ハードディスクスキャンの実行日時などがログとして記録される。これらのログは，ウイルス対策管理サーバ内にも蓄積されており，管理ツールを利用して，ウイルス対策管理者用PCから条件を設定して検索することができる。また，利用者も自身のPCのログを確認することができる。
4. メールサーバでは，送受信される電子メール(以下，メールという)についてウイルススキャンを実施している。メール受信時にウイルスを検知した場合には，感染した添付ファイルを取り除いた後，そのメールにウイルスを検知した旨の通知文を添えて受信者に送信する。メール送信時にウイルスを検知した場合には，メールの送信は行わず，送信者にその旨を連絡する。
S社のセキュリティポリシーには，ウイルス対策として次の事項が義務付けられている。
1. ウイルススキャンによって添付ファイルがウイルスに感染していることが検知された場合，又は不審なメールを受信した場合には，ウイルス対策管理者にメールで通知すること。また，サーバ又はPCがウイルスに感染した場合には，当該機器をLANから切り離した上で，ウイルス対策管理者に電話で連絡すること。
2. ハードディスクスキャンの実行日時を定期的に確認し，ハードディスクスキャンが自動で実行されていない場合には手動で実行すること。
ウイルス対策管理者が実施している主なウイルス対策管理は，次のとおりである。
1. サーバについては，ウイルス対策ソフト及びパターンファイルの更新状況，ハードディスクスキャンの実行状況，並びにウイルス検知の状況について週次でログを確認している。PCについては，ベンダからウイルス感染について重大な注意喚起があった際などに同様の事項を確認している。
2. 利用者からウイルスの検知，感染などの連絡を受けた場合には，報告日，ウイルスの種類，報告元，感染源，被害状況などを記録簿に記載している。
その他，ウイルス対策管理者などにインタビューを実施して把握できた事項は，次のとおりである。
1. 利用者は，配布されているPCを外出先，自宅などに持ち出すことができる。社外からは，PCを社内LANに接続することはできないが，自身のスマートフォンから社内メールを送受信したり，社内掲示版を閲覧したりすることができる。
2. まれに利用者から"社内LANにログインしてもウイルス対策ソフト，パターンファイルが正常に更新されない"との問合せがある。しかし，発生頻度が低く，ほとんどの場合，次にログインしたときに更新されるようなので，今のところ特に対応は行っていない。
3. ハードディスクスキャンが自動で実行されている途中で，手動でスキャンを中止する利用者もいる。
今回の事故の状況を把握するために，事故を起こした従業員，ウイルス対策管理者などにインタビューを行った。その結果は次のとおりである。
1. 業務でUSBメモリなどの外部記憶媒体を利用せざるを得ない場合が多く，セキュリティポリシーでも外部記憶媒体の利用は禁止されていない。
2. 当該従業員が，委託先事業者からUSBメモリを受け取って顧客に渡すまでの間に最新のパターンファイルでUSBメモリのスキャンを実施していれば，ウイルスを検知できたとのことであった。しかし，当該従業員は，その期間は出張中で，PCを社内LANに接続しておらず，パターンファイルは更新されていなかった。

〔監査の実施〕
　監査チームは，ウイルス対策の実施状況を確認するために，表1のような監査要点及び監査手続を設定し，監査を実施した。

〔情報システム部門に助言すべき事項(抜粋)〕
　監査チームは，情報システム部門の再発防止策の策定及び現状のウイルス対策の見直しの検討のために，助言内容を次のようにまとめた。

dを利用する場合は，最新のeによってウイルススキャンを実施することをセキュリティポリシーに追加すること。また，情報システム部門は，eが最新かどうかを利用者が確認できる手段を提供すること。
(以下，省略)

設問1

表1中のaに入れる適切な字句を20字以内で述べよ。

解答入力欄

a：

解答例・解答の要点

a：最新のバージョンに更新されている (16文字)

解説

外部媒体を介したコンピューターウィルス感染を題材に、監査人として必要なウィルス対策に関する基本的な知識、ウィルス対策状況の監査を実施する能力が問われています。ただし、設問1は国語の問題として解答でき、設問3は、情報システムに係る実務経験における基本的動作を理解していれば、本文を探索しなくても解答を導き出せるなど、例年に比べてかなり難易度が低い出題と言えます。

〔aについて〕
項番1の監査手続を読むと、ウイルス対策ソフト及びパターンファイルのバージョンが、最新バージョンと異なっているという条件で対象が絞られて監査が進められます。S社では、ウイルス対策ソフト及びパターンファイルのバージョンが、設定した時刻に自動で更新されるようになっているので、これが正常に機能し、すべてのサーバ・PCが最新バージョンに更新されていることを確かめる監査手続になります。

したがって、監査の要点としては、ウイルス対策ソフト及びパターンファイルが最新バージョンに更新されていることとなります。

∴a＝最新のバージョンに更新されている

設問2

表1中のbに入れる適切な字句を20字以内で述べよ。

解答入力欄

b：

解答例・解答の要点

b：最新のハードディスクスキャンの実行日時 (19文字)

解説

〔bについて〕
項番2の監査手続には「bがログの確認日よりも前の日付」と記載されていますので、bに入るのは比較対象となる日時情報だと判断できます。また「ログに記録されたb」としていることからログに記録された情報であることもわかります。
サーバ・PCのハードディスクスキャンについて記載されている〔予備調査での判明事項（抜粋）〕(1)の②及び③を、「ログに記載された情報」「日時情報」に気をつけて読むと、「ハードディスクスキャンの実行日時」がログに記録されていることがわかります。

ハードディスクスキャンの実行日時は「毎週月曜日の正午に設定されており，利用者は変更できないようになっている」と記載されています。一方、監査手続には「ログの確認は月曜の夕方に実施する」と記載されています。つまり、「最新のハードディスクスキャンの実行日時が確認日よりも前の日付である」という条件を指定してログを検索することで、当日(月曜日)の正午に行われるはずだったハードディスクスキャンが実行されていないサーバ・PCを抽出できます。

∴b＝最新のハードディスクスキャンの実行日時

設問3

表1中のcに入れる適切な監査技法を解答群の中から選び，記号で答えよ。

c に関する解答群

観察
結合
調整
突合せ

解答入力欄

c：

解答例・解答の要点

c：エ

解説

〔cについて〕
ウイルスが検知された場合の措置については、〔予備調査での判明事項（抜粋）〕(2)(3)に説明されています。まず、ウイルスが検知されるとログに記録されます。この時、利用者はウイルス対策管理者に通知し、ウイルス対策管理者は報告日，ウイルスの種類、報告元、感染源、被害状況などを記録簿に記載することになっています。

したがって、ログと記録簿を照合すれば、利用者とウイルス対策管理者がセキュリティポリシーに従って適切に対応しているかどうかを確認できます。このように、関連する複数の証拠資料を照合・比較する監査技法を「突合せ」といいます（システム監査基準では突合・照合法としています）。

複数のドキュメントを比較してなんらかの確認、発見をしようとするのはシステム監査だけではなく、情報システム全般の実務における基本的な動作です。なお、システム監査の監査技法としては、「突合せ」の他に、チェックリスト法、ドキュメントレビュー法、インタビュー法、ウォークスルー法、現地調査法、コンピュータ支援監査技法などがあります。

∴c＝エ：突合せ

設問4

監査チームが，情報システム部門に助言すべき事項について，本文中のd，eに入れる適切な字句をそれぞれ10字以内で答えよ。

解答入力欄

d：
e：

解答例・解答の要点

d：外部記憶媒体 (6文字)
e：パターンファイル (8文字)

解説

〔情報システム部門に助言すべき事項(抜粋)〕で「セキュリティポリシーに追加する」と記載されていますので、〔予備調査での判明事項（抜粋）〕(2)のセキュリティポリシーに記載されていない事項が空欄2つを含む助言事項になります。

何を追加すればよいのかを〔予備調査での判明事項（抜粋）〕の全体から、助言内容にある「ウイルススキャン」の問題に絞って考察します。今回の事故は会社支給のUSBメモリが原因で起きています。業務でUSBメモリなどの外部記憶媒体を利用せざるを得ない場合が多いにもかかわらず、最新のパターンファイルでスキャンを実施せずに、他社とのデータ受け渡しを行ってしまったということです。〔予備調査での判明事項（抜粋）〕(5)に記載されているように、「当該従業員が，委託先事業者からUSBメモリを受け取って顧客に渡すまでの間に最新のパターンファイルでUSBメモリのスキャンを実施していれば，ウイルスを検知できた」にもかかわらず、実際には行わなかったことが事故につながっています。〔予備調査での判明事項（抜粋）〕(1)②に記載されているように「ハードディスクスキャンの自動実行日時は，…。ただし，その日時に起動されていないサーバ，PCでは，ハードディスクスキャンは実行されない」ということは、今回の事故の原因となった事象は日常的に発生しており、また今後も発生し得る事象だと考えられます。ここが、改善のために助言すべき事項です。

「最新のパターンファイルでUSBメモリのスキャンを実施していれば，ウイルスを検知できた」のですから、「USBメモリなどの外部記憶媒体を利用する際には、最新のパターンファイルでウイルススキャンを実施すること」をセキュリティポリシーに追加することが望まれます。

∴d＝外部記憶媒体
　e＝パターンファイル

※本問では、USBメモリの不適切な利用が問題になりましたが、本文中に「USBメモリなどの外部記憶媒体」という記載があるように、より包括的な言葉である外部記憶媒体で答えるのが望ましいと言えます。社内LANに接続される外部記憶媒体がUSBメモリだけであるとは本文に記載されていないからです。

平成27年秋期午後問題一覧

問1　問2　問3　問4　問5　問6　問7　問8　問9　問10　問11　採点講評