システム監査技術者 2022年 午後1 問01
個人情報保護の監査に関する次の記述を読んで、設問に答えよ。
A社は、自社商品をオンラインショッピングサイト（以下、ショッピングサイトという）で販売する中規模の会社である。
〔A社が取り扱う情報〕
A社は、利用者がショッピングサイトで会員登録を行う際に、住所、氏名、年齢、性別、電話番号、電子メールアドレスなどの個人情報を収集し、会員サービスの提供などに活用している。また、令和4年4月に全面施行された改正個人情報保護法（以下、改正法という）で新たに定められた“仮名加工情報”及び“個人関連情報”については、マーケティング用のデータ分析に活用している。
〔仮名加工情報及び個人関連情報の活用〕
仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように個人情報を加工した情報である。特定の個人の識別及び当該個人情報の復元ができないように加工した匿名加工情報に比べ、より元の個人情報に近い内容をもつ。個人情報ではない仮名加工情報であれば、社内で利用する場合には収集時の利用目的に拘束されないことから、A社は、会員情報を基にした仮名加工情報を、会員の特徴を把握するためのプロファイリングに活用している。
個人関連情報は、生存する個人に関する情報であって、個人情報、匿名加工情報及び仮名加工情報のいずれにも該当しない情報である。氏名と直接結び付かない電子メールアドレス、Cookieによる収集情報などが該当する。A社は、スマートフォンからショッピングサイトを利用できるアプリケーションソフトウェアを無償で提供しており、同アプリケーションソフトウェアを利用した場合には、利用時間、閲覧履歴、購買履歴に加え、GPSによる位置情報も行動データの一部として収集される。A社は、行動データに固有の番号を割り当てて特定の会員を識別できないようにし、行動特性分析に活用している。
〔個人情報を取り扱うシステム〕
ショッピングサイトで収集した個人情報は、同サイトと連携してオンラインショッピングシステムを構成する受注管理、出荷管理、顧客管理、広告配信などの各社内システム（以下、バックヤードシステムという）に保存される。これらの個人情報は、受注内容の確認、商品の配送、キャンペーンの通知などに活用されている。
また、A社は、会員からの開示請求への適切な対応を重視し、改正法で開示などの対象とされる個人データ（以下、保有個人データという）を開示用にバックヤードシステムから抽出して構成するための開示請求対応システムを構築している。同システムのユーザーマニュアルには、バックヤードシステム内の保有個人データの保存場所、保有個人データの抽出申請手続などが記載されている。また、改正法を受けて、保有個人データ及び同データの第三者提供記録を開示用の電磁的記録（以下、開示データという）として構成する方法が追加されている。
A社は、システム部門と業務部門が共同で、法務部門とも連携し、オンラインショッピングシステム及び開示請求対応システムにおいて改正法に基づく対応を行ってきた。
〔A社オンラインショッピングシステムの概要〕
バックヤードシステムは、ショッピングサイト経由の注文受付及び会員への広告配信のほか、配送業者との配送情報の相互連携、コールセンターからのオンライン照会に対する回答にも利用されている。
A社オンラインショッピングシステムの概要を図1に示す。
〔システム監査の実施〕
内部監査部長は、年度監査計画に基づき、オンラインショッピングシステム及び開示請求対応システムを監査対象として、改正法に基づくシステム対応の状況についてシステム監査を行うよう、システム監査チームに指示した。
〔予備調査の結果〕
システム監査チームは、予備調査を実施し、改正法による影響及びそれに伴って実施されたシステム対応の内容を表1にまとめた。
〔本調査の結果〕
システム監査チームは本調査の結果として、指摘事項を次のように整理した。
(1) 消去した短期保存データのリストを他の監査証拠と突合したところ、一部のバックヤードシステムで短期保存データが適時に消去されていなかった。バックヤードシステム内に保存されている、短期保存データを含めた全保有個人データのリストは、保有個人データ管理データベースで取得日、保存期限などを付して管理されている。これまで短期保存データは、取得日に基づいて一律に取得後6か月で自動的に消去されていた。改正法によって、短期保存データも保有個人データとみなされることになり、保存期限に応じて適時に消去する機能の追加が行われたが、一部のバックヤードシステムで対応が漏れていたことが原因である。
(2) A社が収集している個人関連情報には、位置情報を含むものがある。それぞれでは特定の個人を識別できないが、蓄積された一連の位置情報に含まれる共通の内容が特定の個人の特徴を示すケースが見られ、氏名と結び付けずに特定の個人を識別できる可能性がある。
(3) バックヤードシステム内の、業務委託先とデータ送受信を行うシステムについては、ログ管理システムによってアクセスログ及び操作ログが取得され、一定期間保存されている。しかし、ログ管理システムがもつ、イベントの監視機能、異常検知時のアラート機能、ログの分析機能、分析結果のレポート機能などのうち、一部の機能の設定が適切に行われておらず、個人情報漏えいの兆候及び発生をすぐに発見できない状態であった。
(4) 開示請求対応システムで構成された開示データについては、請求した会員がダウンロードできるように、ショッピングサイト内の同会員専用ページにダウンロードページへのリンクが表示される。しかし、ダウンロードページでアドレスを書き換えることで上位ディレクトリにもアクセスできる状態であった。
また、ダウンロードが正常に終了すると、その記録が保存されるが、ダウンロードページには有効期限の表示がなく、開示データにも消去期限が設定されていなかった。このため、開示済みの開示データが消去されないままの状態であった。
設問1：〔本調査の結果〕(1)について答えよ。
設問1（1）
問題文を見る当該指摘を行うに当たり、消去した短期保存データのリストと同時にシステム監査チームが入手したと考えられる監査証拠を、35字以内で答えよ。
模範解答
全短期保存データのリストから保存期限を過ぎたものを抽出したリスト
解説
解答の導き方
この設問では、消去した短期保存データのリストと照合するために、監査チームがどのような監査証拠を入手したと考えられるかを問われています。
本文では、短期保存データを含む全保有個人データのリストが、保有個人データ管理データベースで取得日や保存期限とともに管理されています。また、改正法への対応として、短期保存データを「保存期限に応じて適時に消去する機能」が追加されています。
したがって、消去されたデータのリストだけでは、消去されるべきデータが漏れなく消去されたかは確認できません。全短期保存データのリストから、保存期限を過ぎていて消去対象となるデータを抽出し、消去したデータのリストと突き合わせる必要があります。両方のリストを照合すれば、保存期限を過ぎているのに消去されていないデータを見つけられます。
このため、必要な監査証拠は、全短期保存データのリストから保存期限を過ぎたものを抽出したリストです。取得日から一律に一定期間が経過したかではなく、保存期限を基準に抽出する点が重要です。
誤りやすいポイント
- 消去済みデータのリストだけで確認できると考えることです。消去漏れを見つけるには、消去対象だったデータの一覧との照合が必要です。
- 旧来の「取得後6か月」という基準で抽出することです。本文では、保存期限に応じて消去する機能が追加されているため、保存期限を基準にします。
- 全保有個人データのリストをそのまま答えることです。照合に使うのは、そのうち短期保存データで保存期限を過ぎたものを抽出したリストです。
FAQ
Q: なぜ「保存期限を過ぎたもの」を抽出するのですか？
A: 保存期限を過ぎたデータは消去対象だからです。消去したデータのリストと照合すれば、消去漏れを確認できます。
A: 保存期限を過ぎたデータは消去対象だからです。消去したデータのリストと照合すれば、消去漏れを確認できます。
Q: 取得日から一定期間が経過したデータを抽出するのではだめですか？
A: 本文では、保存期限に応じて適時に消去する仕組みに変更されています。したがって、取得日からの経過期間ではなく、管理されている保存期限を基準にします。
A: 本文では、保存期限に応じて適時に消去する仕組みに変更されています。したがって、取得日からの経過期間ではなく、管理されている保存期限を基準にします。
Q: 消去したデータのリストだけでは、なぜ不十分なのですか？
A: そのリストには、実際に消去されたデータしか載りません。消去されるべきなのに残っているデータを見つけるには、消去対象のリストとの照合が必要です。
A: そのリストには、実際に消去されたデータしか載りません。消去されるべきなのに残っているデータを見つけるには、消去対象のリストとの照合が必要です。
関連キーワード: 監査証拠、監査証跡、保存期限管理、データ消去、証拠の突合
設問1（2）
問題文を見る表1中のaに入れる適切な字句を、20字以内で答えよ。
模範解答
a：保存期限を迎えた短期保存データ
解説
解答の導き方
-
表１の項番3では、改正法の影響として「取得後６か月以内に消去する短期保存データも保有個人データとみなされ」とあります。つまり、保存期間が短いデータでも、開示対象から外すことはできません。
-
そのため、短期保存データについても、保有個人データとして管理し、保存期限に従って扱う必要があります。問題文では、保有個人データのリストに「取得日、保存期限など」を付していると説明されています。
-
これまでの仕組みは、取得日を基準に一律で取得後６か月に消去するものでした。しかし、改正後に必要なのは、取得後６か月が経過したかどうかだけで判断するのではなく、それぞれのデータの保存期限に応じて消去することです。問題文にも「保存期限に応じて適時に消去する機能の追加」とあります。
したがって、取得後６か月以内であっても、保存期限に達した短期保存データを消去する機能が必要です。空欄が示す対象は、保存期限を迎えた短期保存データとなります。
誤りやすいポイント
- 「取得後６か月以内でも」を、取得後６か月以内のデータをすべて消去するという意味に捉えないようにしましょう。消去するのは、保存期限を迎えたデータです。
- 旧来の「取得後６か月で一律に消去」という処理を、そのまま新しい消去条件と考えないようにしましょう。改正後の対応では、保存期限に応じた消去が要点です。
- 短期保存データが保有個人データに含まれることと、短期保存データを一律に長期間保存することは別です。保存期限が到来したデータは適時に消去します。
FAQ
Q: 「取得後６か月以内でも」とあるのは、なぜですか？
A: ６か月以内に消去する予定のデータも保有個人データとして扱う必要があるためです。６か月経過前でも、保存期限に達したデータは消去対象になります。
A: ６か月以内に消去する予定のデータも保有個人データとして扱う必要があるためです。６か月経過前でも、保存期限に達したデータは消去対象になります。
Q: 消去の判断に取得日は使わないのですか？
A: 取得日は管理情報の一つですが、今回追加する機能では、データごとの保存期限に応じて消去することがポイントです。
A: 取得日は管理情報の一つですが、今回追加する機能では、データごとの保存期限に応じて消去することがポイントです。
Q: なぜ短期保存データも開示対象になるのですか？
A: 問題文では、改正法によって短期保存データも保有個人データとみなされ、会員への開示データに含める必要があるとされているためです。
A: 問題文では、改正法によって短期保存データも保有個人データとみなされ、会員への開示データに含める必要があるとされているためです。
関連キーワード: 個人情報保護、保有個人データ、保存期限、データ消去、システム監査
設問2：
問題文を見る〔本調査の結果〕(2)について、システム監査チームは、どのような事項を確認して、特定の個人を識別できる可能性があると考えたか。システム監査チームが確認対象とした監査証拠を15字以内で、確認事項を20字以内で答えよ。
模範解答
監査証拠：蓄積された一連の位置情報
確認事項：同じ位置情報が複数存在すること
解説
解答の導き方
この設問では、システム監査チームが特定の個人を識別できる可能性を判断するために、何を監査証拠として確認し、その証拠から何を確かめたのかを分けて考えます。
本文には、個人関連情報に含まれる位置情報は「それぞれでは特定の個人を識別できない」とあります。一つ一つの位置情報だけでは識別につながらなくても、「蓄積された一連の位置情報に含まれる共通の内容」が個人の特徴を示す場合がある、と続いています。
したがって、確認対象となる監査証拠は、単独の位置情報ではなく、蓄積された位置情報のまとまりです。その中で、同じ位置情報が複数回現れているかを確認すれば、繰り返し現れる共通の内容が、個人の特徴を示している可能性を検討できます。
ここで、「蓄積された一連の位置情報」は確認に使う資料、「同じ位置情報が複数存在すること」はその資料から確認する事項です。両者を混同しないように整理します。
誤りやすいポイント
- 監査証拠を「位置情報」とだけ答えると、個々の位置情報なのか、蓄積された一連の情報なのかが明確になりません。
- 確認事項を「個人を識別できること」とすると、確認した内容ではなく、確認によって判断した結果を答えることになります。
- 氏名との照合を確認事項にするのは適切ではありません。本文では、氏名と結び付けなくても識別できる可能性が問題になっています。
FAQ
Q: なぜ一つの位置情報ではなく、一連の位置情報を確認するのですか？
A: 本文では、一つ一つでは個人を識別できなくても、蓄積された情報に共通する内容が個人の特徴を示す場合があると説明されているためです。
A: 本文では、一つ一つでは個人を識別できなくても、蓄積された情報に共通する内容が個人の特徴を示す場合があると説明されているためです。
Q: 同じ位置情報が複数存在することは、何につながりますか？
A: 位置情報の繰り返しに共通する特徴が表れ、氏名と結び付けなくても特定の個人を識別できる可能性につながります。
A: 位置情報の繰り返しに共通する特徴が表れ、氏名と結び付けなくても特定の個人を識別できる可能性につながります。
Q: 「監査証拠」と「確認事項」はどう区別すればよいですか？
A: 監査証拠は判断のために調べる資料で、確認事項はその資料から確かめる内容です。
A: 監査証拠は判断のために調べる資料で、確認事項はその資料から確かめる内容です。
関連キーワード: 個人関連情報、位置情報、個人識別、監査証拠
設問3：
問題文を見る〔本調査の結果〕(3)について、システム監査チームが考えた、当該状況を改善するために、ログ管理システムでの対応が必要な機能を二つ答えよ。
模範解答
①：監視機能
②：アラート機能
解説
解答の導き方
-
まず、ログが記録されているかどうかと、ログから問題をすぐに発見できるかどうかを分けて考えます。本調査の結果では、業務委託先とデータ送受信を行うシステムについて、「アクセスログ及び操作ログが取得され、一定期間保存されている」とあります。したがって、ログの取得や保存ではなく、その後の監視や検知に課題があります。
-
課題は、ログ管理システムの機能の一部が適切に設定されておらず、「個人情報漏えいの兆候及び発生をすぐに発見できない」ことです。兆候や発生を見つけるためには、まずイベントを継続的に監視する必要があります。このため、一つ目は監視機能です。
-
監視によって異常を見つけても、担当者がすぐに気付けなければ、発見が遅れるおそれがあります。異常検知時に担当者へ知らせ、対応につなげる機能も必要です。このため、二つ目はアラート機能です。
ログの分析機能や分析結果のレポート機能も有用ですが、今回問われているのは漏えいの兆候や発生を「すぐに発見」できるようにするための機能です。そのため、監視と、異常を検知した際に知らせるアラートが適切です。
誤りやすいポイント
- アクセスログや操作ログを取得・保存していることだけで、漏えいをすぐに発見できると考えないようにします。ログが存在しても、監視や通知の設定が不適切なら、問題の発見が遅れることがあります。
- ログの分析機能や分析結果のレポート機能は、ログを分析し、結果を確認するための機能です。異常の発見を即時に行うという問題の焦点に対しては、監視機能とアラート機能を優先します。
- アクセス制御や暗号化などの対策を答えないようにします。これらは情報漏えいの予防に関係しますが、設問が求めているのはログ管理システムでの対応です。
FAQ
Q: ログを取得して保存していれば、監視機能は不要ですか？
A: 不要ではありません。取得・保存は後から確認するための前提であり、兆候や異常をすぐに見つけるには監視が必要です。
A: 不要ではありません。取得・保存は後から確認するための前提であり、兆候や異常をすぐに見つけるには監視が必要です。
Q: 監視機能だけでなく、アラート機能も必要なのはなぜですか？
A: 監視によって異常を検知しても、それが担当者に伝わらなければ対応が遅れるおそれがあるためです。アラートによって、異常の検知を速やかな対応につなげます。
A: 監視によって異常を検知しても、それが担当者に伝わらなければ対応が遅れるおそれがあるためです。アラートによって、異常の検知を速やかな対応につなげます。
Q: ログの分析機能やレポート機能は必要ないのですか？
A: それらもログ管理には役立ちます。ただし、この設問では漏えいの兆候や発生をすぐに発見するための機能が問われているため、監視機能とアラート機能を答えます。
A: それらもログ管理には役立ちます。ただし、この設問では漏えいの兆候や発生をすぐに発見するための機能が問われているため、監視機能とアラート機能を答えます。
関連キーワード: アクセスログ、操作ログ、イベント監視、異常検知、アラート、ログ分析
設問4：〔本調査の結果〕(4)について答えよ。
設問4（1）
問題文を見るダウンロードページ経由で上位ディレクトリにアクセスできることについて、システム監査チームが想定したリスクを、45字以内で答えよ。
模範解答
上位及びその下位ディレクトリに保存されている情報が窃取され、漏えいするリスク
解説
解答の導き方
-
開示データは、請求した会員がダウンロードできるように、その会員専用ページからダウンロードページへ進む構成です。ここから、想定されているのは、請求した会員が自分の開示データにアクセスすることです。
-
しかし、本文には「ダウンロードページでアドレスを書き換えることで上位ディレクトリにもアクセスできる」とあります。つまり、会員専用ページから開示データを取得するために許可された範囲を越えて、別の場所へアクセスできる状態です。
-
上位ディレクトリにアクセスできると、そのディレクトリだけでなく、その下位ディレクトリに保存された情報にもアクセスされるおそれがあります。結果として、許可されていない情報が窃取され、外部に漏えいするリスクがあります。問われているのはアクセス可能という状態そのものではなく、その状態によって生じる情報漏えいのリスクです。
誤りやすいポイント
- 「上位ディレクトリにアクセスできる」という脆弱性だけを書き、情報が窃取・漏えいする結果まで述べないと、リスクの説明として不十分です。
- リスクを「会員が自分の開示データを見られなくなること」と捉えるのは誤りです。問題となるのは、許可された範囲を越えて情報にアクセスされることです。
- 開示データだけが漏えいすると限定しないようにします。本文の状況では、上位ディレクトリやその下位ディレクトリに保存された情報も対象になり得ます。
FAQ
Q: 自分専用ページにリンクが表示されるなら、アクセス範囲も安全だと考えられませんか。
A: リンクが会員専用ページに表示されることだけでは、アクセス制御が適切とは限りません。URLを書き換えて別のディレクトリへアクセスできるなら、リンクの表示範囲を越えた情報取得が起こり得ます。
A: リンクが会員専用ページに表示されることだけでは、アクセス制御が適切とは限りません。URLを書き換えて別のディレクトリへアクセスできるなら、リンクの表示範囲を越えた情報取得が起こり得ます。
Q: 上位ディレクトリへのアクセスと、情報漏えいはどう結び付くのですか。
A: 上位ディレクトリやその下位ディレクトリに保存されている情報を、許可されていない利用者が取得できるおそれがあるためです。取得された情報が外部に渡れば、漏えいにつながります。
A: 上位ディレクトリやその下位ディレクトリに保存されている情報を、許可されていない利用者が取得できるおそれがあるためです。取得された情報が外部に渡れば、漏えいにつながります。
Q: この状況を一般に何と呼びますか。
A: URLのパスを書き換えて、本来許可された範囲外のファイルやディレクトリにアクセスする問題は、ディレクトリトラバーサルとして説明されることがあります。
A: URLのパスを書き換えて、本来許可された範囲外のファイルやディレクトリにアクセスする問題は、ディレクトリトラバーサルとして説明されることがあります。
関連キーワード: アクセス制御、ディレクトリトラバーサル、URL改ざん、情報漏えい、機密性
設問4（2）
問題文を見るシステム監査チームが考えた、開示済みである開示データの最も適切な消去のタイミングを、45字以内で答えよ。
模範解答
会員による開示データのダウンロードが正常に終了した記録が保存されたタイミング
解説
解答の導き方
-
問われているのは、会員への開示が済んだ開示データを、いつ消去するのが適切かです。したがって、会員がデータを実際に受け取ったことを確認できるタイミングを考えます。
-
本文には、開示データについて「ダウンロードが正常に終了すると、その記録が保存される」とあります。この記録が保存されれば、会員によるダウンロードが正常に完了したことを確認できます。
-
一方で、ダウンロードページには有効期限がなく、開示データにも消去期限が設定されていなかったため、開示済みのデータが残り続けていました。会員が正常にダウンロードする前に消去すると、開示を完了できないおそれがあります。そこで、正常なダウンロードの記録が保存された後に開示データを消去するのが適切です。
誤りやすいポイント
- ダウンロードページへのリンクを表示した時点では、会員がデータを取得したとは確認できません。
- ダウンロードを開始しただけでは、正常に完了したかどうかが分かりません。正常終了の記録が保存されたことを基準にします。
- 開示データに消去期限を設定しないままにすると、開示後もデータが残り続けるため、消去のタイミングを明確にする必要があります。
FAQ
Q: ダウンロードページにリンクを表示した時点で消去してはいけないのですか？
A: リンクの表示は、会員がデータを実際にダウンロードしたことを示しません。正常にダウンロードされた記録が保存されるまでは、消去のタイミングとしないのが適切です。
A: リンクの表示は、会員がデータを実際にダウンロードしたことを示しません。正常にダウンロードされた記録が保存されるまでは、消去のタイミングとしないのが適切です。
Q: ダウンロードが失敗した場合も消去してよいのですか？
A: いいえ。正常に終了した記録が保存されていない場合は、会員が開示データを取得できたと確認できないため、消去の基準を満たしていません。
A: いいえ。正常に終了した記録が保存されていない場合は、会員が開示データを取得できたと確認できないため、消去の基準を満たしていません。
関連キーワード: データライフサイクル、保存期間管理、ダウンロード管理、監査証跡、個人データ
