応用情報技術者 2021年 春期 午前2 問59

可用性の監査項目【午前2解説】

正解の理由

解法ステップ

1. 問題が問う概念を確認：ここでは「可用性（Availability）」が対象。
2. CIA（機密性・完全性・可用性）の定義を思い出す。
   • 機密性（Confidentiality）：不正な開示を防ぐ
   • 完全性（Integrity）：正確性・改ざん防止・責任追跡
   • 可用性（Availability）：必要時の利用可能性・復旧性
3. 各選択肢がどの分類に該当するかを当てはめる。
   • サーバ二重化 → 可用性（冗長化・フェイルオーバ）
   • 一括検索・加工機能 → 機能性／利便性（可用性ではない）
   • 特権アカウントによるメンテ → 完全性（および責任追跡）
   • 入力チェック機能 → 完全性（データ整合性）
4. 可用性に直接関係する対策を選ぶ（冗長化・バックアップ等）。

選択肢別の誤答解説

• ア: サーバの二重化はハードウェア障害や単一障害点を回避し、システムが継続稼働できるようにするための典型的な可用性対策です。フェイルオーバやロードバランシングも同列の対策です。
• イ: マスタファイルを複数件まとめて検索・加工する機能は、機能性や利用者の利便性に関する項目です。可用性（「使えるかどうか」）とは区別されます。
• ウ: マスタファイルのメンテナンスを特権アカウントに限定するのは、主にデータの正確性や改ざん防止、変更履歴・責任追跡といった完全性に関する項目です（アクセス制御は機密性にも寄与しますが、メンテ制限の主要目的は完全性と監査可能性です）。
• エ: データ入力チェックは誤入力や不整合を防ぐための完全性対策です。可用性の直接的対策とは言えません（ただし、整合性が維持されることでサービス運用が安定するという間接的関係はあります）。

よくある誤解

• 可用性＝「速さ」「機能」ではない：可用性は「利用可能であること（ダウンしない・復旧できる）」を指し、性能（応答速度）や機能要件とは別と考えるべきです。
• 特権アカウント管理は機密性だけではない：特権アカウントの制限は改ざん防止や誰がいつ変更したかを追跡するための完全性・責任追跡の観点が主要目的です。単に「機密性に関する項目」と断定すると誤りになります。
• バックアップと冗長化の違い：どちらも可用性向上に寄与しますが、冗長化は即時の継続稼働（フォールトトレランス）、バックアップは障害後の復旧（リカバリ）を主目的とします。監査では両者の役割を区別して評価します。

補足コラム

• 冗長化設計の有無（クラスタリング、二重化、ロードバランサ）
• 自動フェイルオーバ／切替の検証と運用手順
• バックアップ頻度と復旧手順（RTO/RPOの達成状況）
• 単一障害点（SPOF）の有無
• 定期的な障害試験（フェイルオーバーテスト、リストアテスト） これらは監査証跡としてドキュメント化されているか、定期的にテストされているかも重要な評価項目です。

FAQ