問83
頻出度★★★
社内のISMS活動の一環として, サーバのセキュリティについて監査を行うことになった。最初に実施することとして, 適切なものはどれか。
平成26年度 秋期 ITパスポート試験 問83
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 83
- ア
正解 正解はア。情報セキュリティ監査（システム監査）は「監査計画の策定 → 予備調査 → 本調査 → 評価・結論 → 監査報告 → フォローアップ」という順序で進めるのが基本手順であり、その先頭に来るのが監査計画の策定である。監査計画書には、監査の目的、対象範囲（今回であればどのサーバをどこまで見るか）、監査の重点項目、実施時期とスケジュール、監査体制・要員、監査手続や証拠の入手方法などを明記する。この計画があって初めて「どのログを見るか」「どんなツールでどこまで検査するか」といった具体的な作業の要否と範囲が決まるため、ISMS 活動の一環としてサーバのセキュリティ監査を行うと決まった段階で最初にすべきことは、監査の計画書を作成することである。
不正解イ
セキュリティ設定の見直しは、監査で問題が指摘された後に被監査部門（サーバ運用側）が行う是正措置であり、監査人の作業でもなければ最初の工程でもない。監査前に対象を変更してしまうと、本来の運用状態を評価できなくなる点でも不適切。
不正解ウ
監査用ログの所在確認は、監査証拠を集めるための予備調査・本調査に属する作業である。監査計画で対象範囲と重点項目が決まっていなければ「全てのサーバ」を見るべきかどうかも判断できず、計画より先に行うものではない。
不正解エ
脆弱性検査ツールによる検査は、監査手続の一つとして本調査の段階で実施する具体的作業である。実施の可否・対象・時期は計画書で定めておく必要があり（稼働中サーバへの影響もあるため）、最初に行う作業ではない。
ここがポイント
- 情報セキュリティ監査・システム監査の基本手順は「監査計画の策定 → 予備調査 → 本調査 → 評価・結論 → 監査報告 → フォローアップ」。「最初に何をするか」を問われたら監査計画の策定と答える。
- 監査計画書には監査の目的・対象範囲・重点項目・実施時期・体制・監査手続を定める。ログ確認や脆弱性検査といった具体作業は計画に基づく調査段階、設定の見直しは指摘後の是正措置であり、監査人の第一歩ではない。
用語