システム監査技術者 2014年 午後1 問03

解答の導き方

1. 問われているのは、古いOSの使用を禁止するという対策そのものではなく、その対策で防ごうとしているリスクです。
2. システム監査人は、モバイル端末の技術について「ハードウェア、ソフトウェアともに進歩が速い」と指摘しています。そのうえで、「Z社が定めるバージョンよりも古いOSを搭載したモバイル端末の使用禁止」をセキュリティポリシに加えるべきだとしています。
3. この指摘から、古い機種やOSを使い続けると、必要なセキュリティ機能や更新への対応が難しくなり、Z社が求めるセキュリティ水準を確保できないおそれがあると考えられます。
4. したがって、解答では、旧型の機種を使い続けることによって、Z社のセキュリティ要件を満たせなくなるリスクを示します。単に「サイバー攻撃を受けるリスク」とするのではなく、組織が定めるセキュリティ要件を満たせない点まで述べることが重要です。

誤りやすいポイント

• 「ウイルスに感染するリスク」だけでは、セキュリティポリシに追加する項目が想定するリスクを狭く捉えています。
• 端末の紛失・盗難のリスクと混同しないようにします。ここで問われているのは、古いOSを搭載した端末を使い続けることによるリスクです。
• 「古いOSを禁止する」と対策だけを書くのではなく、その結果として何が起きるおそれがあるのかを述べます。
• 「最新OSでなければならない」という意味ではありません。本文の基準は、Z社が定めるバージョンより古いOSかどうかです。

FAQ

解答の導き方

1. まず、表1の項番2の(5)では、モバイル端末の紛失時又は盗難時に、リモートロック又はリモートワイプを実行することが検討されています。ところが、システム監査人は「MDMサーバがモバイル端末と通信できない場合には実行できない」と指摘しています。つまり、端末がネットワークにつながらない状況では、遠隔操作による対策に頼れません。
2. そのため、通信できない間も端末内のデータを守れるよう、端末自体に備える対策が必要です。まず、端末を操作する際にパスワードなどを要求する設定を行えば、紛失・盗難に遭った端末を第三者が操作し、データを閲覧するリスクを抑えられます。
3. ただし、パスワード設定だけでは、端末から記憶媒体を取り出すなど、端末を通さずにデータを読み取ろうとする行為まで十分に防げるとは限りません。そこで、端末内に保存されているデータを自動的に暗号化し、データが端末から取り出されても内容を読み取られにくくします。
4. したがって、遠隔操作に依存しない端末側の対策として、端末のパスワード設定と、保存データの自動暗号化を挙げます。

誤りやすいポイント

• リモートロックやリモートワイプを、通信できない状況でも実行できる対策として扱わないようにします。設問では、通信できない場合に実行できないことが前提です。
• パスワード設定とデータ暗号化は、守る対象が異なります。前者は第三者による端末操作を防ぎ、後者は保存データそのものの読み取りを防ぎます。
• 端末を紛失したときの届出や、紛失後のリモートワイプだけでは、通信できない間に端末内のデータを保護する対策にはなりません。

FAQ

解答の導き方

誤りやすいポイント

• BYODの端末購入費や通信費の増加と混同しないようにします。問われているのは、セキュリティ事故に対応する運用体制に関するコストです。
• MDMツールで通常の運用負荷を抑えられることだけを根拠に、運用コストは増えないと判断しないようにします。事故発生時の迅速な対応は、通常時の運用負荷とは別に検討する必要があります。
• 「運用コストが増える」とだけ述べず、要員を常時対応できる状態にするための人件費だと具体化します。
• 人件費が必ず増加すると断定するのではなく、体制構築によって増加する可能性があるという監査人の指摘に沿って説明します。

FAQ

解答の導き方

1. まず、アンケート結果の「90%がBYODを望んでいる」という数字が、何を表しているかを確認します。図1では、端末を持っているか、機種やOSの種類・バージョンは何か、BYODを希望するかを尋ねています。つまり、従業員の希望は分かりますが、BYODの利用条件や費用負担について理解し、納得しているかまでは分かりません。
2. 一方、導入に当たっては、希望者が上長の承認や所定の手続を経ることになっています。また、モバイル端末の購入・修理に係る費用と通信費用は、Z社が一部負担するとされています。表1には、OSのバージョン確認や、紛失時の届出、業務データの消去などの対応も示されています。
3. そのため、アンケートでBYODを希望した人でも、こうした制約事項や費用負担の内容を十分に理解していなければ、実際の利用開始後に期待との違いを感じ、満足度が下がることがあります。また、条件を知った結果、BYODを実施しない人が出れば、実施率もアンケートでの希望割合を下回る可能性があります。

誤りやすいポイント

• 「BYODを希望する」と回答した割合を、そのまま実際のBYOD実施率とみなすことです。希望の回答と、条件を理解した上で実際に利用することは別です。
• 費用負担について、Z社が全額負担すると読み違えることです。本文では、Z社が一部負担するとされています。
• 制約事項だけ、または費用負担だけに注目し、どちらも従業員の期待や利用意向に影響する点を見落とすことです。

FAQ

解答の導き方

誤りやすいポイント

• 問合せ件数の増加だけに注目し、人員を増やすことだけを対策として挙げると、問合せ内容の多様化への対応が不足します。
• FAQを作成するだけで公開しないと、従業員が自分で調べて解決する手段になりません。
• リモートロックやウイルス対策など、セキュリティ対策を挙げるのは、ヘルプデスク業務の変化への対策とは異なります。
• 問合せ窓口を設けるだけでは、頻繁に寄せられる質問を効率化する対策が抜けてしまいます。

FAQ