情報セキュリティ管理基準（平成28年）を基に、情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アWebページに対して、マルウェア検出のためのスキャンを行っている。
• イマルウェア感染によって被害を受けた事態を想定して、事業継続計画を策定している。
• ウマルウェア検出のためのスキャンを実施した上で、組織として認可していないソフトウェアを使用している。
• エマルウェアに付け込まれる可能性のある脆弱性について情報収集を行い、必要に応じて修正コードを適用し、脆弱性の低減を図っている。

正解と解説

正解：ウ マルウェア検出のためのスキャンを実施した上で、組織として認可していないソフトウェアを使用している。

組織として認可していないソフトウェアの使用は、脆弱性やマルウェア混入の経路となるため、マルウェア対策の管理基準では禁止されている。スキャンを実施していても、未認可ソフトの利用そのものが統制上の問題なので、指摘事項として報告書に記載すべきである。

選択肢ごとの解説

• アWebページへのスキャンは適切な対策で、指摘には当たらない。
• イ感染を想定した事業継続計画の策定は望ましい対応。
• ウ正解。未認可ソフトウェアの使用は、スキャンの有無にかかわらず統制上の問題となる。
• エ脆弱性情報の収集と修正コードの適用は適切な対策。

同じ分野の他の問題

• システム管理基準（令和5年）における，ユーザ受入テストに関する監査のチェックポイントとして，適切なものはどれか。2025年度 春期 午前 問60
• 販売管理システムにおいて、起票された受注伝票の入力が、漏れなく、かつ、重複することなく実施されていることを確かめる監査手…2019年度 秋期 午前 問60
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2022年度 秋期 午前 問58
• 事業継続計画（BCP）について監査を実施した結果、適切な状況と判断されるものはどれか。2022年度 春期 午前 問58
• アジャイル開発を対象とした監査の着眼点として、システム管理基準（平成30年）に照らして、適切なものはどれか。2021年度 秋期 午前 問58