テレワーキング用PCの運用規程はどこを監査するか
基本情報技術者試験 令和5年度 問14 ／ システム監査 › システム監査
過去問にチャレンジ
A社では，従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程について，情報セキュリティ管理基準(平成28年)に従って監査を実施した。判明した事項のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
- ア
テレワーキング運用規程に従うことを条件に，全ての従業員が利用できる。
- イ
テレワーキングで従業員が使用するPCは，A社から支給されたものに限定する。
- ウ
テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は，従業員それぞれが判断する。
- エ
テレワーキングで使用するPCを，従業員の家族に使用させない。
会話形式の解説
講師監査では、社内ネットワークにつなぐPCの安全対策を、組織がどう定めているかに注目します。
受験者全従業員が利用できる点が、まず気になりました。
講師利用には運用規程を守るという条件があります。組織が利用条件を定めているので、この点は指摘事項ではありません。
受験者では、会社支給のPCだけを使う規程はどう考えますか。
講師使用する端末を組織が把握し、管理しやすくなるため、指摘は不要です。
受験者家族にPCを使わせない規程も、業務情報を守るためですか。
講師はい。家族が業務情報にアクセスすることを防ぐ措置なので、指摘事項ではありません。
受験者マルウェア対策ソフトを入れるかどうかは、従業員が判断してもよいのでしょうか。
講師そこが指摘事項です。各人の判断に任せると、対策していないPCが社内ネットワークに接続し得ます。
受験者端末の安全対策の要件を、組織が定めていない点が問題なのですね。
講師そのとおりです。利用できる人の範囲と、接続するPCの安全対策を誰が決めるかを分けて確認します。
まとめ
監査で指摘すべきなのは、マルウェア対策ソフトの導入を従業員ごとの判断に任せる規程です。対策していないPCが社内ネットワークに接続し得るため、組織として安全対策の要件を定める必要があります。運用規程の順守を条件に全従業員へ利用を認めること、会社支給PCに限定すること、家族の使用を禁じることは、この問題では指摘事項に当たりません。
解答・解説
正解はウです
この問題のテーマ
テレワーキングで使うPCの安全対策について、運用規程のどこに管理上の不備があるかを問う問題です。
解き方の考え方
監査では、利用できる人の範囲だけでなく、社内ネットワークに接続するPCをどう管理するかを確認します。特にマルウェア対策の要件を誰が決めるのかに着目すると、指摘すべき規程を選べます。
選択肢ごとの解説
- ×ア テレワーキング運用規程に従うことを条件に，全ての従業員が利用できる。全従業員に利用を認めても、運用規程の順守を条件としています。組織が利用条件を定めているため、この記述は指摘事項に当たりません。
- ×イ テレワーキングで従業員が使用するPCは，A社から支給されたものに限定する。テレワーキング用PCを会社支給品に限定する規程です。組織が使用端末を把握し、管理しやすくなるため、指摘事項に当たりません。
- ○ウ テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は，従業員それぞれが判断する。マルウェア対策ソフトを導入するかどうかを、従業員ごとの判断に任せています。それでは対策していないPCが社内ネットワークに接続し得るため、組織が定めるべき安全対策の要件が欠けています。
- ×エ テレワーキングで使用するPCを，従業員の家族に使用させない。家族によるテレワーキング用PCの使用を禁じる規程です。業務情報に家族がアクセスすることを防ぐ措置なので、指摘事項に当たりません。
POINT
- 監査では、規程が端末の安全対策を組織として定めているかを確認します。
- 利用対象を広くしても、組織が利用条件を設けることはできます。
- 端末の利用者を限定する規程は、業務情報を守るための措置になります。