応用情報技術者 2022年 秋期 午後 問11

解答の論理構成

1. 監査指示の確認
   【問題文】「(1) 表1項番1について、aとbを照合した結果と、セキュリティ点検の結果との整合性を確認すること。」とあり、照合すべき二つの情報を問うています。
2. 点検項目の意図
   表1「項番1　テレワーク環境の利用者の管理状況」の点検内容は、【問題文】「テレワーク環境を利用する必要がなくなった従業員について、終了届をシステム部に提出しているか。」です。
   つまり、テレワーク利用をやめるべき従業員が確実に終了届を出しているかを確認する仕組みになっています。
3. 終了届が作成される条件
   【問題文】「従業員が異動、退職などに伴い、テレワーク環境の利用を終了する場合に、テレワーク環境利用終了届（以下、終了届という）を作成し、システム部に提出する。」とあるため、異動・退職などの人事情報が出発点になります。
4. 照合対象の特定
   ・a は「従業員が異動、退職などに伴い…」という人事上の事実。
   ・b は「終了届」に記載される内容。
5. 結論
   よって照合すべき情報は
   a：従業員の異動、退職などの状況
   b：終了届の記載内容

誤りやすいポイント

• 「利用届」と取り違える
  終了届ではなく利用届の記載内容を選んでしまうケースが多いです。
• 「貸与PC管理台帳」を選択
  PCの台帳情報は機器管理用であり、人事異動とは直接リンクしないため不適切です。
• 「VPN接続ソフトのインストール履歴」を選ぶ
  これは開始時の設定確認であり、終了時の管理状況を示す材料ではありません。

FAQ

解答の論理構成

1. 内部監査部長の指示(2)
   引用: 「表1項番2について、業務管理部におけるセキュリティ点検の結果を考慮して、システム管理者がcしているかどうか、確認すること。」
   ──「システム管理者が何をしているか」を問うている。
2. セキュリティ点検に関する規定
   引用: 「各部のシステム管理者は、年間計画に基づき、セキュリティ点検を実施し、点検結果、及び不備事項の是正状況をシステム部に報告する。」
   ──システム管理者の主要な役割は「セキュリティ点検を実施」すること。
3. 表1項番2の点検項目
   引用: 「テレワーク環境に関するセキュリティ要件の周知状況」
   ──周知が十分かどうかを点検するのもシステム管理者の責務。
4. 不備報告が無かった事実
   引用: 「業務管理部及び営業部のシステム管理者は…項番2及び項番3について、不備事項を報告していなかった。」
   ──本来あるべき不備が報告されていない可能性がある。
   ──だからこそ監査では「点検自体を適切に実施しているか」を確認する必要がある。
5. 以上より、c には
   「セキュリティ点検を適切に実施」
   が入るのが妥当である。

誤りやすいポイント

• 「周知しているか」「報告しているか」など報告面を答えてしまいがちだが、指示文は“点検の結果を考慮して”とあるため、まず点検行為そのものの妥当性が焦点。
• 「実施」だけでは監査観点が弱く、周知状況の確認まで含む「適切に実施」としないと趣旨を満たさない。
• 表1項番2が「周知状況」を問うため、単に「周知しているか」と混同するミスが起きやすい。

FAQ

解答の論理構成

1. 監査方針の確認
   内部監査部長の指示(3)では、 “表1項番3について、紛失届に記載されているdとeを照合した結果と、セキュリティ点検の結果との整合性を確認すること。”
   とあります。ここで求められているのは、紛失届に記載される2つの“日付”を特定することです。
2. 紛失届に記載される項目の抽出
   問題文の“貸与 PC の紛失・盗難”の段落には、紛失届について次の記載があります。
   “貸与 PC の PC 管理番号、紛失日、紛失状況、最終利用日、システム部への届出日などを紛失届に記載し、遅くとも紛失日の翌日までに、システム部に提出する。”
   ここから、紛失届に必ず含まれる日付情報は
   ・“紛失日”
   ・“システム部への届出日”
   であることが分かります。
3. 監査で照合する目的
   監査で両日付を照合するのは、“遅くとも紛失日の翌日までに提出”という運用ルールが守られているか確認するためです。したがって、dとeに入る字句は以下が妥当です。
   d：貸与PCの紛失日
   e：システム部への届出日

誤りやすいポイント

• “受付日”と混同する
  紛失届の“受付日”はシステム部が後で記載する項目であり、紛失届作成時点の必須項目ではありません。監査指示は“紛失届に記載されている”日付に限定しているため、“受付日”を選ぶと失点します。
• “最終利用日”を選んでしまう
  “最終利用日”も紛失届に記載されますが、提出期限の妥当性判断には直接関係しません。
• 日付の正式名称を簡略化しすぎる
  原文の語句を改変すると減点対象です。“貸与PCの紛失日”“システム部への届出日”と原文どおりに書く必要があります。

FAQ

解答の論理構成

1. 内部監査部長の指示(4)には
   “システム部がfの結果に基づいて、X年8月のセキュリティ点検対象のアプリケーションシステムとして、gの追加を検討したかどうか、確認すること。”
   とあります。ここで f は「結果」、g は「追加を検討したアプリケーションシステム」を指すことが分かります。
2. f を導く根拠
   情報セキュリティ管理状況の点検(2)より
   “システム部は、毎年1月に、利用されるアプリケーションシステムなどの リスク評価結果 に基づき、セキュリティ点検の項目及び内容を決定する。また、新規システムの導入、システム環境の変化などに応じて、リスク評価 を随時行い、その評価結果に基づき、セキュリティ点検の項目及び内容を見直すことになっている。”
   と明示されています。セキュリティ点検対象の見直しは「リスク評価」の結果が起点です。よって f は
   リスク評価
3. g を導く根拠
   テレワーク環境のアプリケーションシステムの記述に
   “Web会議システムは、X 年 6 月から社内及びテレワーク環境で利用可能となっている。”
   とあります。X年8月の点検は「X年6月」に新規導入されたシステムを含める必要があるため、追加候補は “Web会議システム” となります。よって g は
   Web会議システム

誤りやすいポイント

• f を「年間計画」や「セキュリティ点検計画」と読み違える。見直しの根拠は “リスク評価を随時行い…見直す” という文にある。
• g を「基幹業務システム」や「社内ポータルサイト」と誤答。これらは既存システムであり “X 年 6 月から利用可能” という条件に合致しない。
• 「追加を検討」とあるため削除や変更と読み違えてしまう。設問は新規システムの追加可否を問うている。

FAQ

解答の論理構成

• 手掛かり①
  【問題文】「システム部は、点検結果を確認し、また、不備事項の是正状況をモニタリングする。」
  ここで“システム部が行うべき具体的行為”が明示されています。
• 手掛かり②
  【問題文】〔内部監査部長の指示〕(5)
  「システム部がhしているかどうかについても確認すること。」
  指示文は “システム部が行っているか” をチェックせよと言っています。よって、h にはシステム部の具体的行為がそのまま入るはずです。
• 照合
  手掛かり①で示された “システム部の具体的行為” は「不備事項の是正状況をモニタリングする」こと。これがそのまま h に対応します。
• 結論
  h：不備事項の是正状況をモニタリング

誤りやすいポイント

• 「フォローアップ」や「是正を指示」など、抽象的または主体が異なる表現に置き換えてしまう。問題は “システム部が【問題文】で既に行っていると示された動作” をそのまま要求しています。
• “モニタリング”を「監視」や「確認」に置換してしまう。数字・固有名詞と同様、設問は原文表記を求めています。
• h の空欄位置だけを見て、「是正状況の報告を受領」などと推測し、行為者がシステム部である点を見落とす。

FAQ