バックアップ媒体の外部保管で何が監査の指摘か
基本情報技術者試験 平成30年度秋期 午前 問59 ／ システム監査 › システム監査
過去問にチャレンジ
外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
- ア
委託元責任者が，一定期間ごとに，専門業者における媒体保管状況を確認する契約を結んだ上で引き渡している。
- イ
委託元責任者が，専門業者との間で，機密保持条項を盛り込んだ業務委託契約を結んだ上で引き渡している。
- ウ
委託元担当者が，専用の記録簿に，引渡しの都度，日付と内容を記入し，専門業者から受領印をもらっている。
- エ
委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。
会話形式の解説
講師外部保管では、契約や引渡しの記録に加えて、媒体そのものを安全に運べるかを確認します。どの管理に不足があるでしょうか。
受験者契約に関する選択肢が二つあります。保管状況を定期的に確認する取り決めは、不足なのでしょうか。
講師その取り決めがあれば、委託元は引渡し後の保管状況を確かめられます。これ自体は指摘事項ではありません。
受験者機密保持条項も、業者に情報の扱い方を守ってもらうための契約上の措置ですね。
講師はい。機密情報を扱う際の義務を明確にする措置なので、これも指摘事項には当たりません。
受験者では、記録簿はどうでしょうか。日付と内容だけでなく、受領印がある点も判断に関係しますか。
講師関係します。引渡しのたびに記録し、受領印を得ていれば、いつ何を相手に渡したかを後から確かめられます。
受験者残る段ボール箱での引渡しは、箱に入れるだけでは媒体を十分に守れない、という判断ですか。
講師そうです。箱に入れるだけでは、運搬中の衝撃から媒体を守る措置として十分とはいえません。紛失や盗難を防ぐ管理にもならないため、監査報告書で指摘すべきです。
受験者契約と受渡しの記録は確認できても、媒体の物理的な保護が不足している点が決め手ですね。
講師はい。外部保管の安全性は、委託先との取り決め、受渡しの証跡、運搬時の媒体の保護をそれぞれ見て判断します。
まとめ
監査報告書で指摘すべきなのは、機密情報を含むバックアップ媒体を段ボール箱に入れて引き渡す状況です。箱に入れるだけでは、運搬中の衝撃や紛失・盗難に対する管理が不足します。保管状況の定期確認と機密保持条項は契約上の措置です。日付・内容の記録と受領印は、引渡しを後から確認するための証跡になります。
解答・解説
正解はエです
この問題のテーマ
機密情報を含むバックアップ媒体を外部保管業者へ引き渡す際に、監査上の不備となる管理方法を問う問題です。
解き方の考え方
契約、引渡しの記録、媒体そのものの保護をそれぞれ確認します。監査報告書に記載すべきなのは、機密媒体を安全に引き渡すための管理が不足している状況です。
選択肢ごとの解説
- ×ア 委託元責任者が，一定期間ごとに，専門業者における媒体保管状況を確認する契約を結んだ上で引き渡している。保管状況を定期的に確認する契約により、委託元は引渡し後の管理状況を確かめられます。委託先を管理するための取り決めなので、これ自体は不備とはいえません。
- ×イ 委託元責任者が，専門業者との間で，機密保持条項を盛り込んだ業務委託契約を結んだ上で引き渡している。業務委託契約に機密保持条項を設ければ、専門業者が情報を扱う際の義務を明確にできます。機密管理に必要な契約上の措置として扱えます。
- ×ウ 委託元担当者が，専用の記録簿に，引渡しの都度，日付と内容を記入し，専門業者から受領印をもらっている。引渡しのたびに日付と内容を記録し、受領印を得ています。これにより、いつ何を相手に渡したかを後から確認できます。
- ○エ 委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。段ボール箱に入れて渡すだけでは、運搬中の衝撃から媒体を守る措置が十分とはいえません。また、箱に入れることだけでは媒体の紛失や盗難を防ぐ管理にもなりません。機密情報を含む媒体の物理的な保護が不足するため、監査報告書で指摘すべきです。
POINT
- 外部保管では、委託先の管理方法を契約で定め、確認できるようにします。
- 機密保持の約束は、委託先に情報の取扱いを求めるためのものです。
- 受渡しの記録は、媒体の引渡しを後からたどる証跡になります。
- 契約や記録に加えて、媒体を運ぶ際の物理的な保護も確認します。