システム監査技術者 2024年 午後1 問01

　A社は、衣料品などを販売する企業であり、ECサイトを構築し、運用している。A社ECシステムでは、ECサイトの頻繁な更新や新たなサービスへの迅速な対応が求められることから、アジャイル開発を採用してきた。また、ECシステム以外の情報システムでもアジャイル開発が増加し、本番リリースの頻度が高くなってきたことから、システムの開発・運用プロセスを見直してDevOpsを適用することになった。 　ECシステムにおけるDevOpsを適用した開発・運用プロセスについて、A社監査部のシステム監査チーム（以下、監査チームという）が監査を実施することになった。監査の主な観点は、リリースサイクルの短縮というDevOpsの適用目的が達成されるような運用方法になっているかどうか、及びDevOps特有の環境や開発・運用プロセスにおけるリスクに対応できているかどうかである。 　 〔ECシステムの開発・運用プロセス〕 　A社のECシステムにおける開発・運用プロセスの概要は図1のとおりである。

　CIとは、プログラムの開発と単体テストを自動化することであり、CDとは、開発又は修正したモジュールを実行環境に移送して実行可能な状態にする作業（以下、デプロイという）を含めて自動化することである。自動化すると、一連の作業として本番リリースまで実行されるので、A社では、ウォーターフォール型開発でいう単体テスト以降の工程を、“ステージ”と呼んでいる。 　A社のDevOpsの環境の概要は、次のとおりである。 (1) 開発環境 　エディター、コンパイラ、デバッガなどの開発ツール群が、開発担当者のローカルの環境に提供されている。 (2) リポジトリ 　構成管理ツールによって、開発されたソースコードのバージョン管理機能及び保管先としてのリポジトリが提供される。ソースコードには、許可された開発担当者だけがアクセス可能である。また、インフラに関する設定情報を管理し、各ステージにおける環境設定の自動化を支援する。 (3) 実行環境 　各ステージでは、ソースコードから実行可能なモジュールの生成（以下、ビルドという）、デプロイ、テストなどの自動化を支援する各種のツール（以下、CI/CDツールという）が準備されている。各ステージの概要は、次のとおりである。 　① 単体テスト：開発環境から構成管理ツールにソースコードを格納し、モジュールのビルドから単体テストまでを実行する。単体テストを完了したモジュールがリポジトリに格納される。 　② 機能テスト：実行環境にモジュールをデプロイし、機能要件の検証及び性能要件を除く非機能要件の検証を行う。 　③ 性能テスト：実行環境にモジュールをデプロイし、性能要件の検証を行う。 　④ ユーザー受入テスト：実行環境にモジュールをデプロイし、機能要件を満たしているか、情報システムが使いやすいかなどの利用者観点の検証を行う。 　⑤ 本番リリース：本番の実行環境（以下、本番環境という）へのモジュールのデプロイを行う。 　 〔予備調査の実施〕 　監査チームが、予備調査で把握した内容は、次のとおりである。 (1) 開発・運用の体制 　ECシステムにおけるDevOpsを適用した開発・運用の体制について、営業部のS課長にインタビューした。S課長は、ECシステムの開発・運用に関する最終決定権と責任をもつプロダクトオーナーである。インタビューの結果分かったことは、次のとおりである。 　① S課長の下に、利用部門としての要件整理と検証を行う業務チームがある。 　② 機能ごとに五つのスクラム開発チーム（以下、開発チームという）があり、プログラムの開発からリリースまでを担当する。各開発チームの構成は、開発チームのリーダーであるスクラムマスター1名と3〜6名の開発担当者である。 　③ 共通チームは、コーディングルールやCI/CDツールの効果的な使用方法についての標準化など、各開発チームに共通する課題を担当する。 　④ 運用チームは、主にサーバやネットワークの構築及び運用を担当する。 (2) 開発・運用の状況 　DevOpsを適用した開発・運用の状況について、複数の開発チームのスクラムマスター及び開発担当者へのインタビューの結果分かったことは、次のとおりである。 　① DevOpsでは、開発担当者がCI/CDツールを利用して、本番環境を含む各実行環境にデプロイすることが可能である。CI/CDツールでは、各環境へのデプロイの権限及びアクセス可能な環境や期間を開発担当者ごとに設定できる。また、デプロイや設定変更が行われると、指定した者に通知されるように設定できる。 　② DevOpsの適用によってリリースサイクルを短くしていくために、CI/CDツールを活用して本番リリースまでのステージの早期の自動化を目指している。 　③ 各開発チームには開発スキルの高いメンバーが集まっており、それぞれが自分の担当する機能の開発に集中して作業しているので、プログラム開発の生産性は高く、単体での品質は高い状況である。しかし、先日、他チームの進捗遅延の支援のためにプログラムの修正を行った際に、担当したメンバーが修正前のプログラムを理解するのに時間が掛かり、生産性が期待よりも低いことがあった。 　④ CI/CDツールの自動化の設定については、開発担当者の習熟度に応じて適用範囲を順次拡大していく計画である。リリースサイクルの短縮の第一段階となる単体テストステージでは、各スクラムマスターが開発担当者の権限を設定している。 　 〔監査手続の検討〕 　監査チームは、予備調査の結果を踏まえて、ECシステムにおけるDevOpsを適用した開発・運用についてリスクを分析し、監査手続を検討している。〔予備調査の実施〕(2)開発・運用の状況①～④について検討した内容は、次のとおりである。 　(1) ①のような状況下では、未承認のプログラムが本番環境にデプロイされてしまうリスクに対して、従来のウォーターフォール型開発で必要とされてきたコントロールを適用することは適切ではない。CI/CDツールの設定による予防的なコントロールや未承認のデプロイを適時に発見するコントロールによってリスクの低減を図る必要があるので、これらのコントロールが設定されているかどうかを確認する。 　(2) ②について、CI/CDツールによってテストを自動化するステージの範囲を設定でき、DevOpsの適用目的の達成を可能とすることは理解できる。しかし、全てのステージを自動化するべきではないので、自動化の検討範囲について確認する。 　(3) ③について、共通チームが役割を十分に果たせていない可能性があるので、スクラムマスターにインタビューして確認する。 　(4) ④について、DevOpsの適用目的を達成できるようになっているかどうか、CI/CDツールの運用方法を確認する。