セキュリティ管理策の監査指摘事項
システム監査・情報セキュリティ監査の過去問で、「監査人が指摘すべき不備」を選択肢から見つけられるようになる。あわせて、公開鍵証明書の有効期間内で電子署名を検証できるかを判定できるようになる。
監査の問題は、正しい対策が3つ、穴のある対策が1つという形でほぼ毎回出ます。どこに穴があるかの見つけ方を覚えると、初めて見る設定の問題でも解けるようになります。
このレッスンで稽古する（用語チェック・過去問）結論：「指摘事項」の問題は、穴のある選択肢を1つ探す問題
指摘事項とは、監査人が基準と照らし合わせて「ここが不十分」と判断し、監査報告書に書く内容です。選択肢のうち3つはちゃんとできている状況、1つだけが統制の穴になっています。
穴のある選択肢には、よく次のような言い回しが入っています。
| 穴を示す言い回し | なぜダメか | 過去問の例 |
|---|---|---|
| 「まとめて」「年度初めに」 | すぐやるべき対応を後回しにしている | 退職者のアクセス権を年度初めに一括削除 |
| 「各自が判断」「要不要は従業員に任せる」 | 組織として強制していない | マルウェア対策ソフトの導入を従業員が判断 |
| 「共通の」暗証番号・ID | 誰がやったか特定できない | 入室に共通の暗証番号を使う |
| 「常時施錠していない」 | 物理的な入口が開いたまま | 社外から直接入れるサーバ室のドアが未施錠 |
| 同じ経路で送る | 1か所漏れれば全部漏れる | パスワードをメール本文に書く |
逆に「規程を定めて周知」「定期的にレビュー」「業務の場所と分離」「表示しない」はできている側です。
システム監査の3つの観点：安全性＝不正使用から守る（最頻出）
システム監査では、システムを信頼性・安全性・効率性の3つの観点で確認します。試験でよく問われるのは、安全性＝不正な使用から守ることです。安全性に当たる機能はアクセス管理機能、証拠はアクセスログです。
| 観点 | 何を確かめるか | 機能・監査証拠の例 |
|---|---|---|
| 安全性 | 不正なアクセスや使用から守られているか | アクセス管理機能、アクセスログ |
| 信頼性 | 障害が起きても止まらないか・元に戻せるか | フェールソフト、フォールトトレラント、リカバリ、故障件数・故障率の報告書 |
| 効率性 | 資源を無駄なく使えているか | CPU の性能評価レポート |
ビルにたとえると、部外者を入れない鍵と入館記録が安全性です。停電しても動き続ける非常用発電が信頼性に当たります。
信頼性の3つの用語は、試験で安全性と取り違えさせるために選択肢に並びます。区別できるようにしておきましょう。
| 用語 | 意味 |
|---|---|
| フェールソフト | 故障したら機能を落としてでも動き続ける |
| フォールトトレラント | 部品を二重化するなどして、故障しても全機能が動き続ける |
| リカバリ | 障害が起きたあと、データやシステムを元の状態に戻す |
計算チェックプログラムのテスト結果は「処理が正しいか」を示す資料です。不正アクセスとは関係がないので、安全性の証拠にはなりません。
アクセス権：退職・異動したら遅滞なく削除する
退職・異動した人のアクセス権は、遅滞なく（すぐに）削除・変更します。「定期人事異動に合わせて年度初めにまとめて削除」は、それまでの間アクセスできてしまうので指摘事項です。
辞めた社員の入館証を年度末まで回収しないのと同じです。規程の整備・利用者への周知・上長による定期レビューは、できている状況なので指摘しません。
物理的セキュリティ：入口の管理と、個人を特定できること
サーバ室や機密情報のある部屋は、誰が出入りしたかを管理できることが前提です。
| 状況 | 判定 | 理由 |
|---|---|---|
| 社外から直接入れるドアを常時施錠していない | 指摘 | 誰でも入れてしまう |
| 入室許可者が共通の暗証番号で入室 | 指摘 | 個人を識別できず、後から追跡できない |
| 無人の区域では営業時間中も警報が作動 | 適切 | |
| 非常口・避難器具・誘導灯がある | 適切 | 人命を守る設備 |
| サーバ室の場所を室外に表示しない | 適切 | 場所を知られないようにする |
| 荷物の受け渡しはサーバ室に入らない場所で行う | 適切 | |
| 打合せは執務室から分離し、機密情報のない場所で行う | 適切 |
「表示しない」「分離する」は、何かをやっていないように聞こえますが、守るための工夫です。否定形だから不備だと決めつけないこと。
そのほかのチェックポイント（各1問ずつ）
- ドキュメント管理：漏えい・改ざん・不正使用のリスクに対しては、機密性を確保する対策がされているかを確認します。遅滞ない更新や標準化は、別のリスクに対するチェック項目です。
- テレワーク：マルウェア対策ソフトの導入を従業員の判断に任せるのは指摘事項です。組織として必須にする必要があります。会社支給の PC に限定する、家族に使わせないのは適切な対策です。
- 機密情報をメールで送る：添付ファイルにパスワードを付け、パスワードはメールとは別の手段で伝えるのが適切です。同じメールに書くと、メールが漏れたときに一緒に漏れます。
公開鍵証明書の有効期間：署名した日と検証する日の両方が期間内
公開鍵証明書は、公開鍵の持ち主を認証局が保証する電子的な身分証明書で、有効期間があります。電子署名で文書の真正性（本人が作り、改ざんされていないこと）を確かめるには、署名した日と検証する日の両方が有効期間内に入っている必要があります。
判定は次の3つです。
- 有効期間の終わり ＝ 証明書を取得した日 ＋ 有効年数
- 署名した日が、取得日から期間の終わりまでに入っているか（取得日より前の署名はNG）
- 検証日が、期間の終わりより前か
有効期間4年の証明書で、検証できる組合せを選ぶ
| 公開鍵証明書取得日 | 電子署名生成日 | 検証日 | |
|---|---|---|---|
| ア | 2014 年 3 月 1 日 | 2016 年 8 月 1 日 | 2020 年 12 月 1 日 |
| イ | 2016 年 1 月 1 日 | 2018 年 12 月 1 日 | 2020 年 2 月 1 日 |
| ウ | 2017 年 4 月 1 日 | 2017 年 5 月 1 日 | 2020 年 12 月 1 日 |
| エ | 2018 年 8 月 1 日 | 2016 年 7 月 1 日 | 2020 年 3 月 1 日 |
ア 公開鍵証明書取得日 2014 年 3 月 1 日，電子署名生成日 2016 年 8 月 1 日，検証日 2020 年 12 月 1 日
イ 公開鍵証明書取得日 2016 年 1 月 1 日，電子署名生成日 2018 年 12 月 1 日，検証日 2020 年 2 月 1 日
ウ 公開鍵証明書取得日 2017 年 4 月 1 日，電子署名生成日 2017 年 5 月 1 日，検証日 2020 年 12 月 1 日
エ 公開鍵証明書取得日 2018 年 8 月 1 日，電子署名生成日 2016 年 7 月 1 日，検証日 2020 年 3 月 1 日
出典：基本情報技術者試験 科目A免除 修了試験 20250608 実施分 問45
解き方と答えを見る
- ルール：有効期間 ＝ 取得日 〜 取得日＋4年。署名した日と検証日の両方がこの期間に入っていればOK
- ア：2014/3/1 取得 → 有効期限は 2014＋4 ＝ 2018/3/1。署名 2016/8/1 は期間内。検証 2020/12/1 は期限切れのあとなので ✕
- イ：2016/1/1 取得 → 有効期限は 2016＋4 ＝ 2020/1/1。署名 2018/12/1 は期間内。検証 2020/2/1 は期限切れのあと（1か月過ぎている）なので ✕
- ウ：2017/4/1 取得 → 有効期限は 2017＋4 ＝ 2021/4/1。署名 2017/5/1 は期間内。検証 2020/12/1 も期限前なので ○
- エ：2018/8/1 取得。署名 2016/7/1 は、証明書を取得する前に署名しているので ✕
答え：ウ（署名した日と検証日の両方が 2017/4/1〜2021/4/1 に入っている）
要点（試験直前に読む）
- 指摘事項の問題は、3つの適切な対策の中から穴を1つ探す。サインは「まとめて」「各自の判断」「共通の」「常時施錠していない」
- 安全性＝不正な使用から守ること。検証項目はアクセス管理機能、監査証拠はアクセスログ
- フェールソフト・フォールトトレラント・リカバリ・故障率は信頼性、CPU の性能評価は効率性
- 退職・異動者のアクセス権は遅滞なく削除する。共通の暗証番号は個人を特定できないので指摘事項
- パスワード付きファイルを送るときは、パスワードを別の経路で伝える
- 証明書は取得日＋有効年数が期限。署名した日と検証日の両方が期間内なら検証できる
ひっかけ
- 安全性の検証項目を問う問題で、フェールソフトやフォールトトレラント（信頼性）を並べてくる。「不正な使用」とあれば、アクセス管理を選ぶ
- 「表示しない」「分離している」などの否定形を不備だと思わせる。守るための工夫なら適切な対策
- 規程を定めた・周知した・定期レビューしたなど、できている状況を指摘事項に見せかける。指摘するのは運用の穴だけ
- 証明書の問題では、署名した日だけ確認して検証日の期限切れを見落とさせる（イは1か月だけ過ぎている）。取得日より前の署名（エ）にも注意
- メールで機密情報を送る問題では、パスワードを付けたことで安心させ、同じメール本文にパスワードを書く選択肢を選ばせる
用語（17）
監査人が基準と照らし合わせて不備だと判断し、監査報告書に書く事項。
⚠ 適切に運用されている状況は指摘しない。選択肢の中から穴のあるものを1つ選ぶ。
監査人が結論を出す根拠として集める記録や資料。
⚠ どの観点の証拠かを問われる。アクセスログは安全性、故障率の報告書は信頼性、CPU の性能評価は効率性。
システムが不正なアクセスや使用から守られていること。
⚠ 信頼性（障害に強いこと）と混同しやすい。「不正」という言葉があれば安全性。
障害が起きにくく、起きても処理を続けたり元に戻したりできること。
⚠ フェールソフト・フォールトトレラント・リカバリは信頼性に当たり、安全性ではない。
CPU などの資源を無駄なく使い、必要な性能が出ていること。
⚠ CPU の性能評価レポートは効率性の証拠で、安全性の証拠ではない。
利用者を識別し、許可された範囲だけ操作させる仕組み。
⚠ 安全性の検証項目。フェールソフトなどの信頼性の機能と並べて出される。
誰が・いつ・何にアクセスしたかの記録。
故障したとき、機能や性能を落としてでも処理を続ける考え方。
⚠ フォールトトレラントは全機能を維持し、フェールソフトは機能を落としてでも動かす。
部品を二重化するなどして、故障しても全機能が止まらないようにする考え方。
⚠ フェールソフトとの違いは、機能を落とさない点。
障害が起きたあと、データやシステムを正常な状態に戻すこと。
どのデータや機能を使ってよいかを利用者ごとに決めた権限。
⚠ 退職・異動したら遅滞なく削除・変更する。まとめて行うのは指摘事項。
誰がいつ部屋に入り、いつ出たかを個人単位で制限・記録すること。
⚠ 共通の暗証番号では個人を特定できないので、入退室管理にならない。
許可された人だけが情報にアクセスできる状態を保つこと。
⚠ 漏えい・不正使用のリスクには機密性の対策が答え。ドキュメントの更新や標準化は別の目的。
ウイルスなどの不正なプログラムを検知・駆除するソフト。
⚠ 導入を個人の判断に任せるのは統制の不備。
認証局が、公開鍵とその持ち主を結び付けて保証する電子的な証明書。電子証明書とも呼ぶ。
⚠ 有効期間がある。署名した日と検証日の両方が期間内でないと検証できない。
秘密鍵で文書に付ける署名。公開鍵で検証すると、本人が作成し改ざんされていないことを確かめられる。
文書が本人によって作られ、改ざんされていないこと。
このレッスンの過去問
- 安全性の検証項目(アクセス管理機能)平成28年度 秋期 基本情報技術者試験 午前 問58
- アクセス権管理の監査指摘(退職・異動時の遅滞ない削除)基本情報技術者試験 科目A免除 修了試験 20210613 実施分 問58
- サーバ室の物理的セキュリティ監査指摘事項令和7年度 基本情報技術者試験 科目A 公開問題 問15
- ドキュメント管理の監査チェックポイント(機密性確保)平成29年度 春期 基本情報技術者試験 午前 問59
- テレワーク運用規程の監査指摘事項令和5年度 基本情報技術者試験 科目A 公開問題 問14
- 機密情報のメール送付時の対策(別経路でのパスワード通知)平成25年度 春期 基本情報技術者試験 午前 問60
- 公開鍵証明書の有効期間と電子署名の検証可否基本情報技術者試験 科目A免除 修了試験 20250608 実施分 問45