システム監査技術者 2025年 午後1 問02

　K社は、事務機器を製造し、販売店経由で販売している企業である。K社の情報システム部は、販売店を支援するために、専用Webサイトで受発注、納期回答などの機能を提供する販売支援システム（以下、本システムという）を構築し、運用している。本システムはK社が保有するシステム基盤上で稼働していたが、システム管理の負荷とコストの軽減を目的として、2年前にL社のIaaSに移行した。 　移行後、大きな障害はなく順調に稼働していたが、2か月前に、IaaSのシステム管理に使用するコンソール（以下、管理コンソールという）のアクセス制御においてIPアドレス制限の設定漏れが見つかった。幸いにも情報の漏えい事故にはつながらなかったが、他社ではクラウドサービスの設定漏れを起因とした事故が多発している。そこで、K社の内部監査室のシステム監査チームは、IaaSを利用する際のリスクに対して、本システムの管理が適切に行われているかどうかを監査することとした。 　 〔予備調査の結果〕 　システム監査チームは、情報システム部から本システムに関する資料を入手するとともに、情報システム部長にインタビューを行い、本システムの概要と設定漏れの経緯を調査した。その結果の抜粋は次のとおりである。 (1) 本システムの概要 　本システムの利用者は、当社の従業員及び販売店である。L社のIaaS上で稼働するアプリケーションシステム（以下、アプリケーションという）は外部委託先であるM社が開発している。製品情報、受発注情報、販売店情報などがIaaS上のストレージに保管されている。 (2) 本システムの管理体制 　情報システム部のS氏がシステム管理者として任命されている。また、IaaSの管理業務とアプリケーションの保守業務はM社に外部委託されている。インタビューの回答によると、現在、IaaSのシステム管理者権限を保有しているのは、S氏及びM社の担当者2名の計3名である。 (3) 設定漏れの経緯 　2か月前に、情報システム部がセキュリティベンダーに委託して、K社のシステムに対する社外からのネットワーク診断を実施した。その結果、本システムの管理コンソールへのアクセスについて、IPアドレス制限が設定されていないとの指摘を受けた。 　管理コンソールでは、仮想マシン、アクセス制御、ログ、監視、バックアップなどのIaaSの管理に係る重要な設定が行われる。そのために、IaaSの利用開始時から、K社とM社の接続元IPアドレスだけにアクセスが制限されていた。 　しかし、6か月前の定期保守の際に、M社の担当者が管理コンソールに接続できなくなる事象が発生したので、M社から連絡を受けたS氏がIPアドレスの制限を解除する設定を行い、対処した。その後、セキュリティベンダーから指摘を受けるまで、この設定を戻していなかった。 　S氏がログを確認したところ、3か月前に、許可していない外部の接続元IPアドレスから管理コンソールへのログインを試みたものの、失敗した履歴が残っていた。 (4) セキュリティ強化策 　今回の設定漏れを踏まえて、情報システム部で次の二つの対策を行った。 　① 管理コンソールでIaaSの設定をする際は、変更管理台帳にその記録を残すようにした。これに加えて、今回のような設定漏れを自動検知し、システム管理者に通知する自動化ツールの導入を検討中である。 　② システム管理者権限のアカウントについて、IaaSの機能として利用できる多要素認証をアカウント単位で“必須”に設定し、セキュリティを強化した。 (5) その他のシステム管理状況 　① K社の“クラウドサービス利用に係る情報セキュリティ基準”（以下、クラウド利用基準という）では、IaaSを利用したシステムについて、ゲストOSやミドルウェアなどのソフトウェアの脆弱性診断を毎月実施することが定められている。また、発見された脆弱性の深刻度及び緊急度に応じた対処の判断基準が示されている。本システムも毎月脆弱性診断を実施しており、発見された脆弱性の対処に伴い不具合が発生しないと判断したセキュリティパッチは、四半期ごとの定期保守に合わせて適用する対処をしている。 　② 緊急時に備え、IaaSの監査ログ機能を使用して、システム管理者権限の操作ログを1年間取得している。なお、操作ログは暗号化され、システム管理者権限のアカウント以外では操作ログへアクセスできない。 　③ L社の責任範囲であるデータセンターやハードウェア、ホストOSなどのセキュリティ管理状況については、L社の外部監査人による保証報告書がL社から提供されている。 　④ M社とは、IaaSの管理業務とアプリケーションの保守業務に係る業務委託契約を締結している。S氏とM社とは毎週定例会を実施しており、業務の実施状況や課題などを議論し、議事録が残されている。 　 〔監査手続の検討〕 　システム監査チームは、予備調査の結果を踏まえて、想定されるリスクの洗い出しと監査手続の検討に着手した。監査手続案を表1に示す。

〔内部監査室長の指示〕 　内部監査室長は、予備調査の結果と表1をレビューして、次のとおり監査チームに指示した。 　(1) 表1項番1について、現在の監査手続案では不十分である。システム管理者権限がIaaSで適切に設定されていることを確かめる監査手続を盛り込むこと。 　(2) 表1項番2について、予備調査の結果を踏まえると、現在のコントロールには懸念がある。実施されているコントロールの詳細を確かめること。 　(3) 表1項番3について、現在の監査手続案では不十分である。システム管理者の権限に関して、保管されている操作ログの完全性が確保されていることを確かめること。 　(4) 表1項番4について、設定漏れを検知する自動化ツールが導入されるまでの間、実施可能な対策が講じられていることを確かめること。 　(5) 全体に係る内容として、予備調査の結果を踏まえると、K社の本システムの管理体制は内部不正の観点で課題があるので、今後の対応方針や計画を確かめること。