令和5年度 秋期 システム監査技術者試験 午後II 問題 問2 サイバーセキュリティ管理態勢の監査（論述）
この問題は2023(R5)秋 システム監査技術者 午後IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
学習ガイド
高度化するサイバー攻撃を前提に、組織のサイバーセキュリティ管理態勢が適切かを監査する視点を論じる午後Ⅱの問題です。解答例は非公表のため、設問文と採点基準から論述の骨格を組み立てます。鍵は『体制』と『態勢』の書き分けで、組織図上の体制ではなく、PDCAを回して変化するリスクに追随する仕組みと姿勢を論じることが求められます。講評は、個別システムやプロジェクトに話を縮めた答案、PDCAの一部や技術的対策に偏った答案を課題に挙げており、この記事ではそれらを避ける構成法を中心に解説します。
この記事で押さえる論点
- 組織全体で継続するサイバーセキュリティ管理『態勢』が必要となる理由を論述する
- PDCA各フェーズの監査の着眼点と入手すべき監査証拠を漏れなく挙げる
- インシデント発生時を想定した対応態勢の監査手続を具体的に構成する
- 技術的な脆弱性対策への偏りを避け組織的な管理態勢の評価に軸足を置く
出題情報
- 出題
- 2023(R5)秋 システム監査技術者 午後II 問2
- 配点
- 100点満点
- 模範解答
- 未公表(採点基準と解説から解答の方向性を読み取る)
出題趣旨・採点講評(IPA 公表)
インターネットに接続した情報システム又はデバイスが多くなるに伴い，サイバーセキュリティのリスクはますます高まってきている。また，サイバー攻撃の手口は，高度化，巧妙化し，インシデントを未然に防ぐことは難しくなっている。したがって，企業などの組織には，インシデントの発生を未然に防ぐための技術的な対策だけではなく，サイバーセキュリティ管理態勢を構築して，PDCAサイクルを実施することが求められる。このような点を踏まえて，システム監査人は，変化していくサイバーセキュリティのリスクに対応していくために，サイバーセキュリティ管理態勢が適切かどうかを確かめる必要がある。本問では，サイバーセキュリティ管理態勢が適切かどうかを確かめるための監査の着眼点，入手すべき監査証拠及び具体的に確かめるべき内容の論述を通じて，監査の知識・能力などを評価する。
問2では，“サイバーセキュリティ管理態勢”について求めているが，“体制”や”個別システム”，“個別プロジェクト”についての論述が目立った。
問題本文
サイバーセキュリティ管理態勢に関するシステム監査について
情報通信技術の進展，デジタルトランスフォーメーション（DX）の取組拡大などに伴い，デジタル環境を前提とするビジネス，サービスが増えてきている。このような環境ではインターネットなど外部ネットワークとの接続を前提とすることから，サイバーセキュリティのリスクが高まっている。
例えば，サイバー攻撃は，年々，高度化，巧妙化し，情報システムの停止，重要情報の外部流出などから攻撃があったことに気づく場合がある。また，サイバーセキュリティ対策が適切でないと，被害が拡大し，ビジネス，サービスに及ぼす影響が大きくなることも想定される。さらに，サプライチェーン上の取引先などのサイバーセキュリティ対策に脆弱性があると，取引先を経由した攻撃を受けるおそれもある。
このようにサイバーセキュリティのリスクが多様化している状況においては，特定の情報システムにおけるインシデントが発生しないように技術的な対策を実施するだけでは不十分である。また，インシデント発生時の被害を最小限に抑え，ビジネス，サービスを速やかに復旧し，継続できるように対策しておくことが重要になる。したがって，企業などの組織には，サイバーセキュリティ管理態勢を構築して，PDCAサイクルを実施することが求められる。
以上のような点を踏まえて，システム監査人は，サイバーセキュリティ管理態勢が適切かどうかを確かめる必要がある。
あなたの経験と考えに基づいて，設問ア〜ウに従って論述せよ。
設問と解答・解説
設問ア
あなたが関係するビジネス又はサービスの概要，及びサイバーセキュリティ管理態勢が必要となる理由について，800字以内で述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準(配点 34点)
知識・理解度（内容）(18点)
- 18点: ビジネス概要が明確であり、サイバーセキュリティ管理態勢が必要な理由が個別システムではなく組織全体のリスク等の観点から的確に記述されている。
- 13点: ビジネス概要と態勢の必要性が述べられているが、やや個別システムの課題等に偏りがある。
- 9点: 記載はあるものの、「態勢」ではなく単なる「体制」の説明に留まっている部分が多い。
- 4点: 設問の要求を満たす記載が不十分である。
- 0点: 記載がない、または全く無関係の内容である。
論理性（構造）(16点)
- 16点: 設問の要求事項に沿って、首尾一貫した論理展開で記述されており、説得力が高い。
- 12点: おおむね論理的に記述されているが、一部つながりが不明瞭な箇所がある。
- 8点: 論理の飛躍が散見され、趣旨が伝わりにくい部分がある。
- 4点: 全体的に論理的整合性に欠ける。
- 0点: 評価不能。
解説
本問は、高度化・巧妙化するサイバー攻撃を背景に、組織全体でのサイバーセキュリティ管理態勢の構築とPDCAサイクルの実施について、システム監査人の視点から監査計画・手続を論述する問題です。
高得点のポイント
- あなたが関与するビジネスやサービスの概要を具体的に説明していること。
- 「個別システム」や単なる組織の「体制（組織図など）」にとどまらず、組織全体として継続的に取り組むべき態勢（仕組みや姿勢）が必要となる理由を、サイバーリスクとビジネスへの影響と結びつけて論理的に記述していること。
設問アでは，“態勢”が必要となる理由が不十分な解答が多かった。
設問イ
設問アを踏まえて，サイバーセキュリティ管理態勢におけるPDCAサイクルの実施が適切かどうかを確かめるための監査の着眼点及び入手すべき監査証拠を挙げ，監査手続によって確かめるべき内容を，700字以上1,400字以内で具体的に述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準(配点 33点)
知識・理解度（内容）(17点)
- 17点: PDCAサイクル全体（P・D・C・A全て）についての監査の着眼点、証拠、確かめる内容が技術的対策に偏らず具体的に記述されている。
- 12点: PDCAの各要素について言及があるが、一部の要素の説明が不十分、またはやや技術的対策に偏っている。
- 8点: PDCAの一部のみに言及している、あるいは一般的な情報セキュリティの記述に終始している。
- 4点: 設問の要求事項に対して的はずれな記述が多い。
- 0点: 全く無関係または記載なし。
説得力（考察）(16点)
- 16点: システム監査人としての専門的視点に基づく監査手続が非常に具体的かつ説得力を持って記述されている。
- 12点: 監査手続の妥当性・具体性がおおむね認められる。
- 8点: 監査手続の具体性に欠け、説得力がやや乏しい。
- 4点: 監査手続きとしての記述が不適切である。
- 0点: 評価不能。
解説
サイバーセキュリティ管理態勢が有効に機能しているかを確かめるための、PDCAサイクルに着目した監査手続を論述する設問です。
高得点のポイント
- 技術的な脆弱性対策など局所的な対応に偏らず、組織全体を対象としたサイバーセキュリティ管理態勢の適切性を評価していること。
- PDCAサイクルの一部（例えば計画と実行のみ）ではなく、P・D・C・Aの全フェーズそれぞれについて、監査の着眼点、入手すべき監査証拠、確かめるべき内容を具体的に記述していること。
設問イで求めたサイバーセキュリティ管理態勢におけるPDCAサイクルの適切性では，PDCAそれぞれについて記述している解答は少なく，PDCAの一部についての記述であったり，一般的な情報セキュリティの内容や脆弱性対策など技術的対策に偏った内容であったりする解答が目立った。
設問ウ
設問ア及び設問イを踏まえて，インシデント発生時を想定したサイバーセキュリティ管理態勢が適切かどうかを確かめるための監査の着眼点及び入手すべき監査証拠を挙げ，監査手続によって確かめるべき内容を，700字以上1,400字以内で具体的に述べよ。
模範解答
模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。
採点基準(配点 33点)
知識・理解度（内容）(17点)
- 17点: インシデント発生時を想定した対応態勢に対する監査の着眼点、証拠、手続が明確に記述されている。
- 12点: インシデント発生時の対応態勢について言及があるが、具体性がやや不足している。
- 8点: インシデント発生時の想定が不十分であり、平時の管理態勢についての記載が中心になっている。
- 4点: 設問の要求事項に対して的はずれな記述が多い。
- 0点: 全く無関係または記載なし。
説得力（考察）(16点)
- 16点: 設問ア・イを踏まえ、インシデント発生時の監査手続が具体的かつ説得力を持って記述されている。
- 12点: 監査手続の妥当性・具体性がおおむね認められる。
- 8点: 監査手続の具体性に欠け、説得力がやや乏しい。
- 4点: 監査手続きとしての記述が不適切である。
- 0点: 評価不能。
解説
事前対策が困難なサイバー攻撃に対し、インシデントが発生した後の対応態勢に焦点を当てた監査手続を論述する設問です。
高得点のポイント
- 単なる予防策ではなく、インシデント発生時（検知、初動対応、エスカレーション、復旧など）を想定した態勢に特化して記述していること。
- 対象となる態勢が適切に構築・運用されているかを確かめるための監査の着眼点、監査証拠、具体的な監査手続について、設問ア・イとの整合性を保ちながら、システム監査人の専門的な視点から説得力を持って記述していること。
設問ウでは，インシデント発生時を想定した態勢について論述していない解答が散見された。設問で求めている内容を踏まえて，具体的に論述してほしい。