システム監査技術者 2011年 午後1 問01
データセンタ移転に伴うサーバ移転計画のシステム監査に関する次の記述を読んで、設問1～4に答えよ。
A社は、大手のインターネット通信販売会社であり、国内3か所にデータセンタをもっている。その内訳は、A社で8年前に稼働を開始したデータセンタ（以下、DC-Aという）と4年前に稼働を開始したバックアップセンタ（以下、BCという）、及び3年前に吸収合併したB社のデータセンタ（以下、DC-Bという）である。
〔データセンタの概要及び移転計画〕
DC-A及びDC-Bは東京都内にある。DC-Aは、本社と同じビルの1フロア、DC-Bは、本社とは別のビルのオフィス用1フロアを、それぞれ賃借している。一方、BCは関西にあり、コンピュータ機器設置用に設計されたビルの1フロアを賃借している。
A社ではここ数年、業績が大幅に伸びたことから、多くのサーバを増設しており、今後も増設が予想されている。今年の7月には、DC-A及びDC-Bにおける消費電力、空調能力及び床荷重が許容値を超える可能性がある。そこで、A社では、これらによる障害の発生を予防し、かつ、データセンタの運用コストを削減するために、DC-A及びDC-Bを1か所に集約・移転して運用を統合することにした。DC-A及びDC-Bは、外部の専門ベンダであるN社が所有・管理するデータセンタ（以下、DC-Nという）に移転し、ハウジングサービスを利用することにした。
B社が所有していたDC-Bは、DC-Aとは異なるドメインネットワーク（以下、ドメインという）に属している。BCにはDC-A用及びDC-B用の異なるドメインが存在しているので、データセンタ移転を機にDC-B用ドメインを廃止し、DC-A用ドメインに統合することにした。
〔データセンタ移転に伴うサーバ移転計画〕
1.サーバ移転時期
A社の情報システム部は、各サーバで稼働するアプリケーションシステムのオーナ部門（以下、オーナ部門という）の協力を得て、サーバ移転計画、及びサーバ移転作業が失敗したときにサーバ移転作業の実施前の状態に戻すための切戻し計画を策定している。サーバ移転作業は、DC-Nでネットワーク設備の準備が完了した直後の4月に開始し、5月末までに完了する予定である。表1はサーバ移転スケジュールの抜粋である。
2.サーバ移転作業
サーバ移転作業は情報システム部が行う。サーバ移転作業には、実機移設と新規設置がある。実機移設とは、現在使用しているサーバをDC-A又はDC-BからDC-Nに搬入し、設置する作業である。一方、新規設置とは、DC-Nに新たにサーバを設置し、バージョンアップされたOS及びミドルウェアの導入・カスタマイズを行う作業である。新規設置では、現在使用しているサーバのアプリケーションシステムのバックアップデータを使用して、新しいサーバにアプリケーションシステムを導入する。また、バージョンアップされたOS及びミドルウェア上で、各オーナ部門がアプリケーションシステムの互換性確認テストを実施する。
本番機の実機移設又は新規設置と同時に、それぞれ本番機と1対1に対応する開発機を実機移設又は新規設置する。開発機は、本番機と同じデータセンタ内に設置されている。
3.バックアップ機設置
4月第2週の週末にDC-AからDC-Nに実機移設される13台の本番機では、業務優先度の低い社内業務システムが稼働していたので、バックアップ機が存在しない。しかし、3か月前に用途が見直され、重要なアプリケーションシステムが導入されたので、移転作業期間中に13台のバックアップ機をBCに新規設置することになった。ほかの本番機については、すべてBCにバックアップ機が存在する。5月第1週の週末に、DC-Nに新規設置される27台の本番機については、27台のバックアップ機をBCに新規設置する。
また、DC-Bの本番機を使用停止し、DC-Nに本番機を新規設置する際には、ドメインが変わるので、BC内の対応するバックアップ機のIPアドレスを新規設定する。
〔システム監査の実施〕
内部監査室長は、年次監査計画に基づいて、データセンタ移転に伴うサーバ移転計画の妥当性を監査するために、システム監査人2名からなる監査チームを編成した。
1.予備調査
予備調査の結果、サーバ移転について情報システム部では表2のような検討を行っていることが分かった。
2.本調査での発見事項
監査チームは、策定した個別監査計画に基づいて本調査を行った。その際の発見事項は、次のとおりである。
(1) 表1中の4月第2週の週末にDC-AからDC-Nに実機移設されるサーバについて、サーバ移転作業で障害が発生した場合、サービスを再開できないリスクがある。
(2) 表2の項番1について、DC-Nに新規設置されるサーバのOS、ミドルウェア及びアプリケーションシステムの導入完了期限を移転1週間前としているが、この場合、互換性確認テストを十分に実施できない可能性が高い。
(3) 表2の項番3について、情報システム部が、サーバのIPアドレス変更に伴って影響を受けるアプリケーションプログラムを調査することになっているが、調査結果を検証する手続が定められていない。
(4) 表2の項番5について、BCP更新までの間、事業の継続性を確保するには、サーバ移転作業が失敗したときの切戻し計画だけでは不十分である。各週末の移転終了後に災害などが発生した場合、業務が中断するおそれがある。
設問1：
問題文を見る〔システム監査の実施〕2.本調査での発見事項の(1)について、システム監査人が認識したリスクを回避するためには、どのようなサーバ移転作業の実施手順に変更すべきか。35字以内で述べよ。
模範解答
バックアップ機の設置及び稼働確認を先に行い、本番機を搬出する。
解説
解答の導き方
-
対象となるのは、表1で「4月第2週の週末」にDC-AからDC-Nへ搬出される本番機13台です。この13台は、もともと業務優先度の低い社内業務システムを動かしていたため、バックアップ機がありませんでした。
-
しかし、3か月前に重要なアプリケーションシステムが導入されたため、移転作業期間中に13台のバックアップ機をBCに新規設置する計画になっています。ここで注意したいのは、「移転作業期間中に設置する」というだけでは、本番機の搬出より先にバックアップ機が使える状態になるとは限らないことです。
-
本番機を搬出した後、バックアップ機の設置や準備が終わる前に障害が発生すると、サービスを再開できないおそれがあります。したがって、単にバックアップ機を設置するだけでなく、本番機を搬出する前に設置を終え、稼働できることも確認しておく必要があります。
-
そのため、作業の順序を、バックアップ機の設置と稼働確認を先に行い、その後に本番機を搬出する形に変更します。
誤りやすいポイント
- バックアップ機を「移転作業期間中に設置する」だけで十分だと考えることです。本番機の搬出より後に設置する可能性が残るため、順序を明確にする必要があります。
- バックアップ機を設置すればよいと考え、稼働確認を省くことです。設置済みでも、サービスを再開できる状態とは限りません。
- 4月第2週の週末に搬出される13台には、もともとバックアップ機がなかったという条件を見落とすことです。他の本番機にはバックアップ機が存在します。
FAQ
Q: バックアップ機を移転作業期間中に設置すればよいのではありませんか。
A: 本番機を搬出した後に設置する順序では、障害発生時にサービスを再開できない期間が生じるおそれがあります。搬出前に準備と稼働確認を終える必要があります。
A: 本番機を搬出した後に設置する順序では、障害発生時にサービスを再開できない期間が生じるおそれがあります。搬出前に準備と稼働確認を終える必要があります。
Q: なぜ設置だけでなく、稼働確認も必要なのですか。
A: 設置が完了していても、バックアップ機でアプリケーションシステムを動かせることが確認されていなければ、障害時に利用できるとは判断できないためです。
A: 設置が完了していても、バックアップ機でアプリケーションシステムを動かせることが確認されていなければ、障害時に利用できるとは判断できないためです。
Q: この順序変更が必要なのは、すべての本番機ですか。
A: 本文では、ほかの本番機にはすべてBCにバックアップ機が存在するとされています。リスクの説明で特に対象となっているのは、バックアップ機がなかった13台です。
A: 本文では、ほかの本番機にはすべてBCにバックアップ機が存在するとされています。リスクの説明で特に対象となっているのは、バックアップ機がなかった13台です。
関連キーワード: バックアップ機、稼働確認、サーバ移転、サービス継続
設問2：
問題文を見る〔システム監査の実施〕2.本調査での発見事項の(2)について、システム監査人は、どのような監査手続によって、“互換性確認テストを十分に実施できない可能性が高い”と判断したか。入手したと考えられる監査証拠と、それに基づいて検証した内容を、それぞれ25字以内で述べよ。
模範解答
監査証拠：各オーナ部門が策定した互換性確認テスト計画
内容：全テスト項目が1週間で完了できる作業量かどうか。
解説
解答の導き方
この設問では、互換性確認テストが十分に実施できないと判断するために、監査人が何を証拠として入手し、何を確認するかを考えます。
まず、表2の項番1では、情報システム部が新規設置サーバのOS、ミドルウェア及びアプリケーションシステムを「移転１週間前までに」導入するとしています。一方、互換性確認テストは各オーナ部門が実施します。したがって、導入の完了後から移転までの期間が短く、テストに必要な時間を確保できないおそれがあります。
ただし、期間が1週間であることだけでは、テストが十分にできないとは断定できません。テスト項目が少なければ、1週間で完了できる可能性もあるためです。そこで監査人は、各オーナ部門が作成した互換性確認テスト計画を確認します。計画にはテスト項目や実施予定が示されているため、テストに必要な作業量を判断するための監査証拠になります。
次に、その計画に記載された全テスト項目について、予定された作業量が導入完了後の1週間で実施できるかを検証します。つまり、監査手続は計画の内容を確認し、全テスト項目を1週間で完了できる作業量かどうかを評価することです。
誤りやすいポイント
- 導入完了期限が移転１週間前であることだけを根拠に、テストが不十分だと判断しないでください。テストの作業量と実施可能期間を照合する必要があります。
- 監査証拠として、互換性比較表やサーバ移転スケジュールだけを挙げないようにしましょう。テストに必要な作業量を確認する直接の資料は、各オーナ部門が策定した互換性確認テスト計画です。
- 「テストを実施したか」を確認するのではなく、移転前にテストを十分に実施できる計画になっているかを検証します。
FAQ
Q: なぜ互換性確認テスト計画が監査証拠になるのですか？
A: テスト項目や実施予定を確認でき、必要な作業量が期間内に収まるかを判断できるためです。
A: テスト項目や実施予定を確認でき、必要な作業量が期間内に収まるかを判断できるためです。
Q: 1週間という期間だけで不十分と判断できませんか？
A: テスト項目数や作業量によっては1週間で完了できる可能性もあるため、計画の内容との照合が必要です。
A: テスト項目数や作業量によっては1週間で完了できる可能性もあるため、計画の内容との照合が必要です。
Q: 何を基準に計画を検証しますか？
A: 全テスト項目を、OSなどの導入完了後から移転までの期間内に実施できる作業量かどうかを確認します。
A: 全テスト項目を、OSなどの導入完了後から移転までの期間内に実施できる作業量かどうかを確認します。
関連キーワード: 監査証拠、監査手続、互換性テスト、作業量評価
設問3：
問題文を見る〔システム監査の実施〕2.本調査での発見事項の(3)について、システム監査人が、情報システム部の調査結果が適切かどうかを合理的に判断するためには、どのような監査手続が必要か。具体的な監査手続を一つ挙げ、30字以内で述べよ。また、その監査手続が必要な理由を35字以内で述べよ。
模範解答
監査手続：アプリケーションプログラム一覧と調査済の仕様書の突合せ
理由：調査されていないアプリケーションプログラムが存在するリスクがあるから
解説
解答の導き方
-
表2の項番3では、情報システム部が「IPアドレスを直接指定しているアプリケーションプログラムを識別」することになっています。つまり、サーバのIPアドレス変更によって影響を受けるプログラムを漏れなく見つけることが重要です。
-
しかし、本調査の発見事項では、調査結果を検証する手続が定められていないとされています。調査を実施したという説明だけでは、対象となるプログラムをすべて調べたかどうかまでは確認できません。
-
そこで監査人は、調査対象となるアプリケーションプログラム全体を示す一覧と、調査に使われた仕様書を照合します。具体的には、アプリケーションプログラム一覧に載っている各プログラムについて、調査済みの仕様書が対応しているかを確認します。このように「アプリケーションプログラム一覧と調査済の仕様書の突合せ」を行えば、一覧にあるのに調査済みの仕様書がないプログラムを見つけられ、調査漏れの有無を確認できます。
-
理由は、一覧に記載されたプログラムが調査対象から漏れていると、そのプログラムがIPアドレスを直接指定していても発見できず、移転後に影響が生じるおそれがあるためです。
誤りやすいポイント
- 情報システム部への聞き取りだけで、調査結果が適切だと判断しないことが大切です。聞き取りだけでは、調査対象に漏れがないかを確認できません。
- 調査済みの仕様書だけを確認するのではなく、アプリケーションプログラム一覧と照合し、一覧上の対象が調査に含まれているかを確認します。
- 「IPアドレスを直接指定しているプログラムの識別」が調査の目的です。サーバのIPアドレス変更後に動作確認するだけでは、調査対象の網羅性を検証したことにはなりません。
FAQ
Q: なぜアプリケーションプログラム一覧を使うのですか？
A: 調査対象となるプログラム全体を把握し、調査済みの仕様書と照らし合わせるためです。
A: 調査対象となるプログラム全体を把握し、調査済みの仕様書と照らし合わせるためです。
Q: 突合せでは何を確認しますか？
A: 一覧に載っている各プログラムについて、調査済みの仕様書が対応しているかを確認します。対応する仕様書がなければ、調査漏れの可能性があります。
A: 一覧に載っている各プログラムについて、調査済みの仕様書が対応しているかを確認します。対応する仕様書がなければ、調査漏れの可能性があります。
Q: この手続だけで、IPアドレスの指定箇所まで必ず正しく特定できたといえますか？
A: 突合せは主に調査対象の漏れを確認する手続です。指定箇所の判断の正しさを確認するには、仕様書の内容も確認する必要があります。
A: 突合せは主に調査対象の漏れを確認する手続です。指定箇所の判断の正しさを確認するには、仕様書の内容も確認する必要があります。
関連キーワード: システム監査、監査証拠、網羅性確認、突合せ、IPアドレス、アプリケーションプログラム
設問4：
問題文を見る〔システム監査の実施〕2.本調査での発見事項の(4)について、システム監査人が切戻し計画だけでは不十分であると考えた理由、及び移転終了後のリスク低減のために追加すべき対策を、それぞれ35字以内で述べよ。
模範解答
理由：切戻し計画はサーバ移転後の災害などの発生を想定したものでないから
対策：本番機移転の前に、システム構成の変更に合わせてBCPを更新する。
解説
解答の導き方
-
表2の項番5では、BCPを更新するのは「全サーバの移転完了後」とされています。また、それまでの対応は「切戻し計画」とされています。ここから、移転作業の途中では、移転後のシステム構成を反映したBCPがまだ整備されていないことが分かります。
-
ただし、切戻し計画が対象とするのは、サーバ移転作業が失敗した場合です。問題文では、切戻し計画を「サーバ移転作業の実施前の状態に戻すため」の計画としています。つまり、移転が成功した後に災害などが起きた場合の業務継続策とは目的が異なります。
-
サーバ移転は複数の週末に分けて行われます。そのため、各週末の移転が完了した後、全サーバの移転が終わるまでの間にも、移転後の構成で業務を行っている期間があります。この間に災害が発生すると、切戻し計画では対応できず、更新前のBCPも実際のシステム構成に合わないおそれがあります。
-
したがって、理由は、切戻し計画が移転作業の失敗を対象とし、移転完了後の災害を想定していないことです。対策としては、全サーバの移転完了を待つのではなく、本番機の移転前に、変更後のシステム構成に合わせてBCPを更新しておく必要があります。
誤りやすいポイント
- 切戻し計画とBCPを、どちらも障害時に使う計画だから同じものと考えてしまうことです。切戻し計画は移転作業の失敗から移転前の状態に戻すためのもので、移転後の災害への対応を目的とするBCPとは役割が異なります。
- 問題点を「BCPの更新が遅い」とだけ捉え、移転後の災害に切戻し計画では対応できない点を説明しないことです。
- BCPの更新時期を「移転完了後」のままにすることです。移転完了前にも、移転後の構成で業務を行う期間があるため、本番機の移転前に更新しておく必要があります。
FAQ
Q: 移転作業が失敗した場合は、BCPで対応するのですか？
A: この問題では、移転作業が失敗した場合に移転前の状態へ戻すための計画が切戻し計画です。BCPは、災害などで業務の継続が困難になった場合への備えです。
A: この問題では、移転作業が失敗した場合に移転前の状態へ戻すための計画が切戻し計画です。BCPは、災害などで業務の継続が困難になった場合への備えです。
Q: なぜ全サーバの移転後にBCPを更新するのでは遅いのですか？
A: 移転は段階的に行われるため、移転が完了したサーバで業務を行っている間に災害が発生する可能性があるからです。移転後の構成に合ったBCPを、本番機の移転前に整備しておく必要があります。
A: 移転は段階的に行われるため、移転が完了したサーバで業務を行っている間に災害が発生する可能性があるからです。移転後の構成に合ったBCPを、本番機の移転前に整備しておく必要があります。
関連キーワード: 事業継続計画、切戻し計画、災害復旧、システム構成変更
