A社では,従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程について,情報セキュリティ管理基準(平成28年)に従って監査を実施した。判明した事項のうち,監査人が,指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アテレワーキング運用規程に従うことを条件に,全ての従業員が利用できる。
• イテレワーキングで従業員が使用するPCは,A社から支給されたものに限定する。
• ウテレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は,従業員それぞれが判断する。
• エテレワーキングで使用するPCを,従業員の家族に使用させない。

正解と解説

正解：ウ テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は,従業員それぞれが判断する。

監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を書く。マルウェア対策ソフトの導入可否を従業員個人の判断に委ねる運用は、組織として一律に講じるべき対策が担保されない状態であり、統制上の不備として指摘すべきものである。他の三つはむしろ利用範囲や機器を限定する適切な統制にあたる。

選択肢ごとの解説

• ア規程に従うことを条件とした利用許可であり、統制として問題はない。
• イ会社支給PCに限定することは、管理の及ぶ範囲を保つ適切な統制である。
• ウマルウェア対策を個人判断に委ねており、組織的な対策が担保されない。指摘すべき不備である。
• エ家族による利用を禁じることは、情報漏えいを防ぐ適切な統制である。

同じ分野の他の問題

• サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って…2025年度 公開問題 科目A 問15
• 情報セキュリティ監査において、可用性を確認するチェック項目はどれか。2018年度 春期 午前 問60
• システムテストの監査におけるチェックポイントのうち、最も適切なものはどれか。2019年度 秋期 午前 問58
• A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況につい…2019年度 春期 午前 問60
• 外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。そ…2018年度 秋期 午前 問59