ITパスポート 2014年 秋期 問83

サーバのセキュリティ監査を最初に実施すること【ITパスポート 解説】

• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）
  組織全体で情報を守るしくみやルールのこと。
• 監査（audit）
  構成や運用がルールどおりになっているかを第三者的に確認する行為。
• ログ（log）
  コンピュータやサーバが記録する「いつ・誰が・何をしたか」の履歴。
• 脆弱性（vulnerability）
  攻撃されやすい弱点。脆弱性検査ツールはその弱点を自動で探す道具。

正解の理由

• 監査計画がないと、範囲や目的があいまいになり、後の作業（ログ確認や脆弱性検査）が無駄になったり証拠が不足したりします。
• 監査は手順に従って証拠を収集する必要があるため、まず計画（何を証拠とするか、誰が見るか、タイミング等）を決めるのが適切です。

解法ステップ

1. 問題文で「最初に実施すること」とある点を確認する。
2. 監査の流れ（計画 → 実施 → 証拠収集 → 結果評価 → 改善）を思い出す。
3. 選択肢を当てはめ、監査の「最初」に相当するものを選ぶ。
4. 「計画」を示す選択肢が最優先なので ア を選ぶ。

選択肢別の誤答解説

• ア: 監査の計画書を作成する。
  → 正解。監査は計画（目的・範囲・手順・スケジュール・担当者など）を定めてから実施します。
• イ: サーバのセキュリティ設定を見直す。
  → 誤り。設定見直しは改善・対応の活動です。監査の「実施」や「改善」に当たるため、最初に行うことではありません。
• ウ: 全てのサーバの監査用ログの所在を確認する。
  → 誤り。ログ確認は監査実施時の証拠収集に該当します。どのログを確認するかは監査計画で決めます。いきなり全サーバを確認するのは非効率であり、計画前の行為として不適切です。
• エ: 脆弱性検査ツールを利用して、サーバの脆弱性を確認する。
  → 誤り。脆弱性検査は技術的な診断で、監査の一部になることがありますが、実施前にどの検査を行うか・承認・影響評価などを計画で決める必要があります。最初にやるべきではありません。

よくある誤解

1. 「監査＝問題を見つける作業（設定を直すこと）」
   → 監査は現状を評価する活動で、設定を直すのは改善（是正処置）です。監査自体が直接設定変更を行うわけではありません。
2. 「ログがあればすぐ調べればよい」
   → ログを見ることは重要ですが、何を根拠に評価するか（ログの期間・対象・チェック項目）は計画で定めます。無計画に全ログを調べるのは時間の無駄です。
3. 「技術的なツールを最初に使えば監査は終わる」
   → ツールは手段であり、監査の目的や範囲を決めた上で使うものです。ツールだけで監査の全てを代替することはできません。

補足コラム

• 監査の目的（何を達成するか）
• 監査範囲（どのサーバ、どの機能を対象とするか）
• 監査基準（何をもって合格/不合格とするか）
• 手順とスケジュール（誰がいつ何をするか）
• 必要な証拠（ログ、設定ファイル、操作記録など）
• 担当者と役割（内部監査員、外部監査員、協力部署）
• 連絡方法と緊急対応（監査中に重大問題が見つかった場合の対応）

FAQ