問3 制御ネットワーク及び制御システムの監査

近年,制御システムにおいても汎用のシステム機器と通信プロトコルが用いられるようになったことによって,マルウェア感染や不正アクセスなどのサイバー攻撃のリスクが増大している。このため,制御システム及びそれが接続されているネットワークにおいても,セキュリティ対策を講じることが不可欠となっている。 本問では,セキュリティ管理の対象及びレベルが異なるシステムやネットワークの接続に伴って発生するリスク,並びにリスクの程度に応じたコントロールを識別できる能力,また,それらのコントロールの有効性を検証するために必要な監査手続を選択できる能力を問う。

問3 では,石油精製会社の制御ネットワーク及び制御システムのセキュリティ管理対策を題材にして出題した。 設問1 は,予備調査において入手した2 種類の管理規程が,それぞれ個別に策定されていることに着目し,両者間で定めるセキュリティ管理のレベルの不整合や矛盾の可能性に気づいてほしかったが,一方の規程における不備について述べた解答が多く見られた。 設問3 は,セキュリティパッチ適用前に確認すべき事項(1)と,セキュリティパッチ適用間隔が長いことに対する補完的コントロール(2)について問うた。(1)については,セキュリティパッチ適用後の確認事項に関する解答が少なからず見られた。また,(2)については,インターネットへの接続制限やネットワークの遮断など,制御ネットワーク及び制御システムの正常稼働に影響を与え得る内容の解答が散見された。問題本文中の背景及び設問の趣旨をよく把握した上で解答してほしい。 設問4 は,“技術的対策が適切に講じられていることを確認するための監査手続”について問うたが,単に“~を確認する”という記述にとどまる解答が多く見られた。監査手続を記述する場合には,監査技術(監査証拠を入手するための手段・方法)も併せて記述する必要があり,監査上のポイントを明確にすることも大切である。また,技術的対策に該当しない対策についての解答も散見された。