インシデント管理の監査で指摘事項に書くべき不備とは
情報セキュリティマネジメント試験 令和5年度 問9 ／ システム監査 › システム監査
過去問にチャレンジ
情報システムのインシデント管理に対する監査で判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
- ア
インシデント対応手順が作成され，関係者への周知が図られている。
- イ
インシデントによってデータベースが被害を受けた場合の影響を最小にするために，規程に従ってデータのバックアップをとっている。
- ウ
インシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。
- エ
全てのインシデントについて，インシデント記録を残し，責任者の承認を得ることが定められている。
会話形式の解説
講師今回はシステム監査の問題です。監査報告書の「指摘事項」には、改善や是正が必要な不備を書きます。四つの状況のうち、どれが「リスクを残している状態」なのかを見分けるのがポイントです。
受験者読んでみたら、どの選択肢もきちんと管理しているように見えて迷いました。手順の周知も、バックアップも、記録と承認も、全部よいことですよね。
講師そのとおりです。手順を作って周知していれば、インシデントが起きたときに統一された対応をすばやくとれます。規程どおりにバックアップをとっていれば、データが壊れても復旧できて業務への影響を小さくできます。どちらも改善を求める理由がありません。
受験者全てのインシデントを記録して責任者の承認を得る、というのも適切ですか。全部となると手間が大きすぎる気もしました。
講師記録が残っていれば、対応の経緯を追えますし、再発防止や管理状況の事後確認にも使えます。そう定めていること自体は不備ではないので、指摘事項にはなりません。
受験者そうすると、残るのは連絡・報告ルートが共通になっているものです。ただ、ルートが一本化されているのは分かりやすくて、むしろ良いことのように思えます。
講師一見そう見えますね。ただ、インシデントは種類や発生箇所、影響度によって、誰にどれだけ急いで知らせるべきかが変わります。全部同じルートだと、重大なインシデントも軽微なものと同じ経路で扱われてしまいます。
受験者なるほど。重大な案件でも上に伝わるのが遅れてしまう、ということですね。
講師はい。上位者や経営層へ段階的に引き上げて報告することをエスカレーションといいますが、それが遅れたり、必要な担当者や専門部署に情報が届かなかったりするおそれがあります。だから、影響度に応じた報告体制を明確にするよう求める必要があり、指摘事項になります。
受験者整理すると、ほかの三つは適切な管理で、報告ルートが一律であることだけが改善の必要な不備、ということですね。
講師そのとおりです。共通のルートは整って見えますが、影響度による区別がないため、重大な案件のエスカレーションが遅れるという弱点があります。インシデント対応の報告ルートは、種類・発生箇所・影響度・緊急度に応じて使い分けるもの、と覚えておいてください。
まとめ
監査報告書の指摘事項には、改善や是正が必要な不備を書きます。インシデント対応手順の周知、規程どおりのバックアップ、全インシデントの記録と責任者による承認は、どれも適切な管理の例です。一方で、インシデントの種類や影響度に関係なく連絡・報告ルートが共通になっていると、重大な案件のエスカレーションが遅れたり、適切な部署に情報が届かなかったりするおそれがあります。そのため、影響度に応じた報告体制を求める指摘事項になります。
解答・解説
正解はウです
この問題のテーマ
インシデント管理を監査したときに見つかった状況のうち、改善が必要な不備として監査報告書の指摘事項に書くべきものはどれかを問う問題です。
解き方の考え方
監査報告書の指摘事項は、改善や是正が必要な不備を書くものです。そこで各選択肢が「適切に管理できている状態」なのか「リスクを残している状態」なのかを見分けます。インシデントは種類や影響度によって、誰にどの速さで知らせるべきかが変わります。この前提に照らすと、管理の仕組みとして足りない点がある選択肢を一つに絞り込めます。
選択肢ごとの解説
- ×ア インシデント対応手順が作成され，関係者への周知が図られている。インシデント対応手順を作成して関係者に周知している状況は、望ましい管理です。手順を文書にして共有しておけば、発生時に統一された対応を迅速にとれます。改善を求める理由がないので、指摘事項にはなりません。
- ×イ インシデントによってデータベースが被害を受けた場合の影響を最小にするために，規程に従ってデータのバックアップをとっている。規程に従ってデータのバックアップをとっている状況は、適切な管理です。データが壊れたり消えたりしても復旧でき、業務への影響を小さくできます。規程どおりに運用できているので、指摘事項にはなりません。
- ○ウ インシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。種類や影響度に関係なく連絡・報告ルートを共通にしている状況は不備です。重大なインシデントも軽微なものと同じ経路で扱うため、エスカレーションが遅れたり、適切な担当者や専門部署に情報が届かなかったりするおそれがあります。影響度に応じた報告体制を明確にするよう求める必要があるため、指摘事項として記載すべきです。
- ×エ 全てのインシデントについて，インシデント記録を残し，責任者の承認を得ることが定められている。全てのインシデントを記録して責任者の承認を得ると定めている状況は、適切な管理です。記録が残っていれば、対応経緯の追跡や再発防止、管理状況の事後確認に役立ちます。この定めがあること自体は不備ではないため、指摘事項にはなりません。
補足
「共通」「統一」という言葉は、一見すると整っているように感じられるため引っかけに使われやすい表現です。インシデント対応では、影響の大きさによって経営層へすばやく知らせる経路が必要になるので、「一律であること」はかえって弱点になります。似た問題では、選択肢が「区別すべきものを区別していない」状態になっていないかを確認するとよいでしょう。
POINT
- 監査報告書の指摘事項には、改善や是正が必要な不備を記載します。
- インシデントの連絡・報告ルートは、種類・発生箇所・影響度・緊急度に応じて使い分ける必要があります。
- ルートが一律だと、重大なインシデントのエスカレーションが遅れるおそれがあります。
- 手順の周知、規程どおりのバックアップ、記録と承認は、いずれも適切な管理の例です。