🍀概要
システム監査技術者試験 令和5年 午後2 問2について、AIを活用して、詳細分析した結果を示します。
本分析は、AIが問題文からその背景にある本質的な課題を深く掘り下げ、システム監査人が目指すべき理想像の一端を理解することに役立つよう、多角的な視点から考察したものです。これにより、単なる模範解答の提示に留まらず、論述問題を通して試される思考プロセスや問題解決のアプローチを深く理解するための示唆を提供します。
🧾問題・設問（AU-R05-1-PM2-Q2）
出典：情報処理推進機構 システム監査技術者試験 令和5年 午後2 問2(🔗取り扱いガイドライン)
📘問題
■タイトル
サイバーセキュリティ管理態勢に関するシステム監査について
■内容
情報通信技術の進展，デジタルトランスフォーメーション(DX)の取組拡大などに伴い，デジタル環境を前提とするビジネス，サービスが増えてきている。このような環境ではインターネットなど外部ネットワークとの接続を前提とすることから，サイバーセキュリティのリスクが高まっている。
例えば，サイバー攻撃は，年々，高度化，巧妙化し，情報システムの停止，重要情報の外部流出などから攻撃があったことに気づく場合がある。また，サイバーセキュリティ対策が適切でないと，被害が拡大し，ビジネス，サービスに及ぼす影響が大きくなることも想定される。さらに，サプライチェーン上の取引先などのサイバーセキュリティ対策に脆弱性があると，取引先を経由した攻撃を受けるおそれもある。
このようにサイバーセキュリティのリスクが多様化している状況においては，特定の情報システムにおけるインシデントが発生しないように技術的な対策を実施するだけでは不十分である。また，インシデント発生時の被害を最小限に抑え，ビジネス，サービスを速やかに復旧し，継続できるように対策しておくことが重要になる。したがって，企業などの組織には，サイバーセキュリティ管理態勢を構築して，PDCAサイクルを実施することが求められる。
以上のような点を踏まえて，システム監査人は，サイバーセキュリティ管理態勢が適切かどうかを確かめる必要がある。
あなたの経験と考えに基づいて，設問ア～ウに従って論述せよ。
📗設問
■設問ア
あなたが関係するビジネス又はサービスの概要，及びサイバーセキュリティ管理態勢が必要となる理由について，800字以内で述べよ。
■設問イ
設問アを踏まえて，サイバーセキュリティ管理態勢におけるPDCAサイクルの実施が適切かどうかを確かめるための監査の着眼点及び入手すべき監査証拠を挙げ，監査手続によって確かめるべき内容を，700字以上1,400字以内で具体的に述べよ。
■設問ウ
設問ア及び設問イを踏まえて，インシデント発生時を想定したサイバーセキュリティ管理態勢が適切かどうかを確かめるための監査の着眼点及び入手すべき監査証拠を挙げ，監査手続によって確かめるべき内容を，700字以上1,400字以内で具体的に述べよ。
📔出題趣旨・採点講評(IPA)
■出題趣旨
インターネットに接続した情報システム又はデバイスが多くなるに伴い，サイバーセキュリティのリスクはますます高まってきている。また，サイバー攻撃の手口は，高度化，巧妙化し，インシデントを未然に防ぐことは難しくなっている。
したがって，企業などの組織には，インシデントの発生を未然に防ぐための技術的な対策だけではなく，サイバーセキュリティ管理態勢を構築して，PDCA サイクルを実施することが求められる。このような点を踏まえて，システム監査人は，変化していくサイバーセキュリティのリスクに対応していくために，サイバーセキュリティ管理態勢が適切かどうかを確かめる必要がある。
本問では，サイバーセキュリティ管理態勢が適切かどうかを確かめるための監査の着眼点，入手すべき監査証拠及び具体的に確かめるべき内容の論述を通じて，監査の知識・能力などを評価する。
■採点講評
＜全問共通＞システム監査技術者試験では，問1でデータ利活用基盤の構築について，問2でサイバーセキュリティ管理態勢について，システム監査人としての見識や能力などを問うているが，問題文の趣旨又は設問の内容に沿っていない論述が散見された。また，監査手続が不十分であったり，論文の体裁になっていなかったりする解答も目立った。システム監査の基本を理解した上で，自らの経験と考えに基づいて，論述するように心掛けてほしい
＜問2＞問2では，“サイバーセキュリティ管理態勢”について求めているが，“体制”や”個別システム”，“個別プロジェクト”についての論述が目立った。設問アでは，“態勢”が必要となる理由が不十分な解答が多かった。設問イで求めたサイバーセキュリティ管理態勢におけるPDCA サイクルの適切性では，PDCA それぞれについて記述している解答は少なく，PDCA の一部についての記述であったり，一般的な情報セキュリティの内容や脆弱性対策など技術的対策に偏った内容であったりする解答が目立った。設問ウでは，インシデント発生時を想定した態勢について論述していない解答が散見された。設問で求めている内容を踏まえて，具体的に論述してほしい。
🪄詳細分析(AI)
📝3行まとめ
- 【背景】DXの進展により、サイバー攻撃のリスクが増大し、事業継続に直結する経営課題となっています。
- 【監査視点】システム監査では、サイバーセキュリティ管理態勢のPDCA実施とインシデント対応力を評価します。
- 【行動・着眼点】監査人は、組織全体の体制整備や訓練実施、継続的改善の実効性を具体的に検証すべきです。
🧭サイバーセキュリティ管理態勢に関するシステム監査についての考察
1. 問題の背景と現状分析
- 現状の課題・問題点:
- DXの進展により、ビジネスがデジタル環境を前提とするようになり、インターネットとの接続が不可欠となった結果、サイバーセキュリティのリスクが飛躍的に増大している。
- サイバー攻撃は、年々、高度化・巧妙化しており、従来の防御策を容易にすり抜けてくる。
- 自社だけでなく、取引先など、セキュリティ対策が脆弱なサプライチェーン上の組織を経由した攻撃も増加している。
- このような状況下で、個別の技術的な対策（ウイルス対策ソフト、ファイアウォール等）を場当たり的に導入するだけでは、もはや組織を守りきれない。
- インシデントの発生を完全に防ぐことは不可能であり、インシデント発生時の被害を最小化し、迅速に事業を復旧・継続させるための備えが重要になっている。
- 変化の必要性の背景:
- 攻撃対象領域の拡大: クラウド、IoT、テレワークなどの普及により、守るべきIT資産が組織の境界を越えて広がり、攻撃者に狙われるポイント（攻撃対象領域）が爆発的に増加した。
- サイバー攻撃のビジネス化: ランサムウェア攻撃に代表されるように、サイバー攻撃が、国家や愉快犯によるものだけでなく、金銭を目的とした巨大な「ビジネス」として産業化した。
- 経営責任としてのセキュリティ: サイバーセキュリティが、単なるIT部門の技術的な問題ではなく、事業継続を左右し、経営者の責任が問われる、重大な経営課題として認識されるようになった。
2. 理想像の抽出と具体化
- あるべき理想的な状態:
- 経営主導のサイバーセキュリティ管理態勢: サイバーセキュリティが、経営トップのリーダーシップの下、全社的な経営課題として位置づけられている。セキュリティに関する方針や投資の意思決定は、ビジネスリスクの観点から、取締役会などが主導して行う。
- NIST CSF等に基づく網羅的なPDCAサイクル: 組織のセキュリティ活動が、NISTサイバーセキュリティフレームワーク（CSF）のような、国際的に認められた体系的なフレームワークに基づき、「識別」「防御」「検知」「対応」「復旧」の全ての側面を網羅した、継続的なPDCAサイクルとして管理・運用されている。
- ゼロトラスト・アーキテクチャの採用: 「境界の内側は安全」という従来の考え方を捨て、「何も信頼せず、全てのアクセスを常に検証する」というゼロトラストの原則に基づき、セキュリティアーキテクチャが再設計されている。
- サプライチェーン全体でのリスク管理: 自社だけでなく、重要な取引先や委託先のセキュリティ対策状況を評価し、サプライチェーン全体でのセキュリティレベル向上に取り組んでいる。
- レジリエンス（回復力）の重視: 攻撃を受けることを前提とし、インシデント発生時に、いかに迅速に事業を復旧・継続できるかという「サイバーレジリエンス」の能力向上に重点を置いている。これには、実践的なインシデント対応訓練の定期的な実施が含まれる。
- 克服すべき障壁:
- 経営層の理解と関与の不足: 経営層が、サイバーセキュリティを依然としてIT部門任せの技術問題と捉え、リーダーシップや投資を怠る。
- 人材不足: 高度なセキュリティ管理態勢を構築・運用するための専門人材（CISO、セキュリティエンジニア、アナリスト等）が、質・量ともに圧倒的に不足している。
- 対策の複雑性とコスト: 網羅的なセキュリティ対策には、多様なツールやサービス、専門家が必要となり、多大なコストがかかる。
- サプライチェーンの壁: 取引先に対して、セキュリティ対策の強化や情報開示を要求することの難しさ。
- 利害関係者の視点:
- 経営層: サイバー攻撃という重大な経営リスクが、技術的な対策だけでなく、組織的な「管理態勢」として、網羅的かつ継続的に管理されているという保証を得られる。
- 顧客/取引先: 取引相手として、セキュリティ対策に真摯に取り組んでいる、信頼できる企業であると評価する。
- セキュリティ部門: 経営層の支援の下、場当たり的な対応から脱却し、体系的かつ戦略的にセキュリティ対策を推進できる。
- 監査人: 個別の技術的対策の評価に留まらず、組織全体の「サイバーセキュリティ管理態勢」そのものの有効性を評価する。NIST CSF等のフレームワークを評価の拠り所とし、PDCAサイクルが適切に回っているか、インシデント対応訓練は実効性があるか、といった、より大局的な視点から監査を実施する。
3. 要約
- [200文字]要約:
DX進展でサイバーリスクが増大し、個別技術対策だけでは不十分。理想像は、経営主導で、NIST CSF等のフレームワークに基づき、防御から復旧までを網羅した管理態勢を構築し、PDCAを回すこと。監査人は、この態勢全体の有効性、特にインシデント対応能力を評価する。 - [400文字]要約:
高度化するサイバー攻撃に対し、個別技術の導入だけでは対応できない。あるべき理想像は、経営課題としてセキュリティを捉え、NIST CSF等のフレームワークに基づき、「防御」から「検知」「対応」「復旧」までを網羅した「サイバーセキュリティ管理態勢」を構築・運用することだ。攻撃されることを前提としたインシデント対応訓練などで、組織の回復力（レジリエンス）を高める。監査人は、この管理態勢のPDCAサイクルが有効に機能しているかを評価する。 - [800文字]による詳細な考察:
本問題は、現代の企業経営と不可分である「サイバーセキュリティ」について、それがもはや単なる技術対策の集合体ではなく、経営マターとしての「管理態勢（Management System）」として構築・運用されるべきであることを問うている。これは、システム監査が、ITの領域を越えて、経営監査の側面を強く持つことを示す象徴的なテーマである。- あるべき理想像とは、「脅威インテリジェンス主導（Threat-Informed）の、アダプティブ（適応型）なセキュリティ態勢」の実現である。これは、静的なフレームワークを運用するだけでなく、常に変化する外部の脅威情報（どのような攻撃者が、どのような手法で、どこを狙っているか）を積極的に取り込み、それに応じて自社の防御、検知、対応のプライオリティを動的に変化させていくアプローチである。理想的な状態では、組織はMITRE ATT&CKのようなフレームワークを用いて、攻撃者の戦術・技術を理解し、自社の防御・検知能力が、それらの攻撃シナリオをカバーできているかを継続的に評価・テストする（BAS: 侵害・攻撃シミュレーション）。インシデント対応訓練も、最新の脅威インテリジェンスに基づいた、現実的なシナリオで行われる。この態勢は、特定のルールに縛られるのではなく、脅威の変化に自律的に「適応」していく、生物的なしなやかさを持つ。
- 理想像実現へのアプローチとして、システム監査人は、まず経営レベルのガバナンスを評価する。サイバーセキュリティに関する方針は取締役会で承認されているか、CISOの役割と責任は明確か。次に、NIST CSF等のフレームワークに沿って、PDCAサイクルの実施状況を検証する。①Plan（計画）：リスクアセスメントのプロセスは妥当か。②Do（実行）：計画された対策は導入されているか。③Check（評価）：対策の有効性は、脆弱性診断や訓練によって定期的に評価されているか。④Act（改善）：評価結果を受けて、改善計画が策定・実行されているか。特に、監査の着眼点として、インシデント発生時を想定した態勢の評価が重要となる。インシデント対応計画は具体的か、CSIRTは機能しているか、そして、対応訓練は現実的で、その結果がフィードバックされているかを、計画書、議事録、訓練結果報告書などの監査証拠に基づいて、厳格に評価する。
- 期待される効果は、サイバー攻撃による事業への影響を最小限に抑える、強靭なサイバーレジリエンスの獲得である。
- 考慮すべきリスクは、フレームワークの導入が目的化し、膨大な文書作成と形式的な会議に終始してしまうことだ。監査人は、管理態勢が、組織の実際のセキュリティレベル向上に、実質的に貢献しているかを常に見極める必要がある。