令和3年度 春期 応用情報技術者試験 午前 問58
マネジメントシステム監査セキュリティ管理対象別の監査着眼点・指摘事項ISMS・方針・人的/物理的対策
情報セキュリティ管理基準（平成28年）を基に，情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
解答・解説
正解: ウ. マルウェア検出のためのスキャンを実施した上で，組織として認可していないソフトウェアを使用している。
監査報告書における「指摘事項」とは、組織の規定や基準に違反している、あるいはセキュリティ上のリスクとなる不適切な運用状況を指します。本問では、システム運用担当者の対応のうち、不適切なもの（是正すべきもの）を選択します。
情報システム環境においては、セキュリティを確保するために、組織があらかじめ許可・認可したソフトウェアのみを使用することが原則です。
各選択肢の解説
- ア: 誤り。Webページに対してマルウェア検出のためのスキャンを行うことは、システムの安全性を高めるための適切なセキュリティ対策であり、指摘事項には該当しません。
- イ: 誤り。マルウェア感染などのインシデントによる被害を想定し、事業継続計画（BCP）を策定しておくことは、組織のレジリエンスを高めるための適切な対応であり、指摘事項には該当しません。
- ウ: 正解。組織として認可していないソフトウェアの使用は、たとえマルウェアスキャンを実施していたとしても明確なセキュリティポリシー違反です。情報漏えいやマルウェア感染などの重大なセキュリティリスクを招く原因となるため、監査における指摘事項となります。
- エ: 誤り。ソフトウェアの脆弱性について情報収集を行い、必要に応じて修正コード（パッチ）を適用することは、サイバー攻撃を防ぐための基本的な脆弱性管理であり、適切な対応です。指摘事項には該当しません。