システム監査技術者 2012年 午後1 問01

解答の導き方

1. 監査結果(1)では、表1の項番9にある事業継続性の検討だけでは足りず、「CSPの事業撤退、倒産などによるサービス停止」を想定する必要があると指摘しています。つまり、CSPの経営状態を評価するだけでなく、サービスが使えなくなった場合にM社へどのような影響が及ぶかを考える必要があります。
2. SaaSでは、M社のデータをCSPのサービス上で扱います。サービス停止時にデータを利用できなくなったり、失われたりすれば、M社の資産を守れません。そのため、停止後も顧客データが保全され、必要に応じてM社が取り出せるようになっているかが重要です。
3. そのような保護が確実に行われるかを確認するには、サービス停止時のデータ保全について、契約でどのように定められているかを調べます。契約内容がデータを守るうえで十分かどうかを検討することが、設問の求める内容です。

誤りやすいポイント

• CSPの財務状況や事業継続性だけを確認することにとどめないようにします。設問は、サービス停止時にM社の資産をどう保全するかを尋ねています。
• サービス停止時の業務への影響だけでなく、SaaS上の顧客データが失われたり、取り出せなくなったりするリスクに着目します。
• データ保全の仕組みがあるかだけでなく、それが契約上適切に定められているかを確認します。

FAQ

解答の導き方

誤りやすいポイント

• 現在契約しているCSPだけを確認し、乗換え先の候補となる競合するCSPを確認対象に含めないことです。
• 契約時の評価だけで十分と考え、利用開始後も経営状況や経営方針の変化を定期的に確認する視点を落とすことです。
• SLAの稼働率など、サービスの性能だけを確認することです。この設問では、サービス提供元の事業継続性を確認する必要があります。
• 財務状況だけに限定し、サービスの中核性や契約顧客数の増減を見落とすことです。

FAQ

解答の導き方

誤りやすいポイント

• 各CSPの稼働率の数値や、要求される稼働率を比べるだけでよいと考えることです。算出方法や対象期間が異なる場合、数値をそのまま比較できるとは限りません。
• 稼働率の評価結果が「誤りだった」と断定することです。本文から分かるのは、分析方法が確認できず、共通の基準で評価されたか疑わしいということです。
• CSPごとの算出方法の違いだけに注目し、検討報告書に分析方法の記載がないことや、関係者から明確な回答を得られなかったことを見落とすことです。

FAQ

解答の導き方

1. 問題文では、SaaSの可用性について「現行システムと同等の月間99.9%以上か」を確認することになっています。つまり、M社は一定の稼働率を前提にサービスを選定しようとしています。
2. ところが、監査では各CSPで稼働率の算出項目と対象期間が異なることが分かっています。同じ稼働率の数値でも、算出条件が異なれば、サービスの可用性を同じ基準で比較できているとは限りません。
3. 比較が適切でないままサービスを選ぶと、実際の稼働率がM社の想定を下回るおそれがあります。その場合、SaaSを必要なときに利用できず、利用者の業務処理が遅れる可能性があります。このように、可用性の評価が妥当でないことによる業務への影響を述べます。

誤りやすいポイント

• 稼働率の評価が妥当でないことによる影響ではなく、機密情報の漏えいやデータの破損を挙げると、可用性との対応がずれます。
• 「サービスが停止する」とだけ述べると、その停止がM社の業務にどう影響するかが示されません。業務の遅延など、影響まで結び付けます。
• 稼働率の算出方法の違いだけを指摘して終わらず、それが評価結果を誤らせた場合に起こることを述べます。

FAQ