システム監査技術者 2017年 午後1 問03

解答の導き方

1. 問われているのは、製油所安全管理規程と情報セキュリティ管理規程を、全社的な視点でどのように比較・確認するかです。規程の改訂や承認の手続そのものではなく、両規程の内容について確認すべき点を答えます。
2. 本文では、両規程に「ネットワーク及びシステムのセキュリティ管理において遵守すべきルール」や、管理部署・管理者の役割と責任範囲が定められているとあります。つまり、規程の内容によって、それぞれの領域で実施されるセキュリティ管理の水準や責任の持ち方が決まります。
3. 一方、両規程は「個別に策定」され、全社的な視点から内容を確認していません。そのため、一方の規程では必要な管理が定められていても、他方では不足していたり、同じ事項について異なるルールが定められていたりする可能性があります。
4. ただし、制御ネットワークと本社基幹ネットワークでは、重視するセキュリティ要件が異なります。したがって、規程の内容を完全に同一にするのではなく、両者の事情を踏まえたうえで、セキュリティ管理の水準が同等であり、規程どうしに矛盾がないことを確認します。

誤りやすいポイント

• 両規程の文面や管理方法を、完全に同一にすることが確認事項だと考えることです。異なる運用上の要件があるため、必要なのは同一性ではなく、セキュリティ管理の水準の同等性です。
• 規程をそれぞれの管理部署が改訂・承認していることだけに注目することです。設問が問うているのは、手続の適切性ではなく、全社的な観点での規程内容の整合性です。
• 役割や責任範囲だけを確認すればよいと考えることです。それらに加え、両規程で定めるセキュリティ管理の水準と、規程間の矛盾の有無も確認します。

FAQ

解答の導き方

誤りやすいポイント

• USBを介したマルウェア感染を中心に答えるのは適切ではありません。本文ではUSBポートに対策が講じられていると説明されています。
• 「対策が不十分」という指摘だけで終わらせず、その結果として起こる具体的なインシデントを述べます。
• 工場設備の物理的な破壊や制御異常ではなく、ここでは論理的アクセス制御やサーバ設定の不備による情報持出し、不正アクセスに着目します。

FAQ

解答の導き方

1. 問われているのは、対策①、②に加えて、制御ネットワーク側にある技術的対策を監査でどう確認するかです。対策①は接続する端末と利用者を限定し、対策②はアクセス状況を記録して確認するものです。これらだけでは、ネットワークを通過する通信の種類まで適切に制限されているかは分かりません。
2. 図1では、FW-Bが制御ネットワークとインターネット側との接続点になっています。また、本文には「FW-Bの設定は、E社が推奨するポリシに基づいて、E社の技術員が行っている」とあります。そこで、E社からの報告を確認するだけでなく、通信を制御するポリシを監査し、制御ネットワークへの通信が適切に制限されているかを確かめる必要があります。
3. 確認すべきなのは、遠隔監視・保守に必要な通信だけが許可され、それ以外の通信は通過しない設定になっていることです。したがって、ポリシを査閲し、必要なパケットだけを通過させる設定かどうかを確認する手続になります。

誤りやすいポイント

• 端末や利用者の限定だけで、通信自体も適切に制限されていると判断することです。接続する端末が限定されていても、不要な通信まで許可されていないかは別に確認します。
• アクセス状況の記録や定期的な確認だけで、技術的な不正アクセス対策を確認したことにすることです。記録の確認は、通信を許可する設定そのものの適切さを確かめるものではありません。
• E社からの報告を査閲するだけで済ませることです。設問が求めるのは、制御ネットワーク側の技術的対策が適切かどうかを確認する監査手続です。

FAQ