問1 クレジットカード情報保護の監査

カード情報の窃取や不正利用の手口は巧妙化しており,情報セキュリティ対策もそれに適したものにする必要がある。このため,非保持化を実施したECサイトにおいても,新たな脅威への警戒と情報セキュリティ対策への継続的な取組が求められている。 本問では,ECサイトにおけるクレジットカード情報の保護を題材として,カード情報の漏えい対策を含めた情報セキュリティに関する知識,ECサイト運用に伴うリスクを識別する能力,及びコントロールの有効性を検証するために必要な監査証拠を含めて,適用すべき監査手続を選択する能力を問う。

問1では,ECサイトにおけるクレジットカード情報保護の監査を題材に,カード情報の漏えい対策を含めた情報セキュリティ対策に関して,ECサイト運用に伴うリスク,コントロールの有効性の検証に必要な監査証拠を含め,適用すべき監査手続について出題した。全体として正答率は平均的であった。 設問2(i)は,正答率がやや低かった。解答として求めているのは“対策”であり,問題文の文脈から“基準”又は“規程”は当てはまらないことを理解してほしい。 設問3は,正答率が平均的であった。設問では“ネットワーク型侵入防御システムにおけるリスク”を問うたが,直接関係のないリスクについての解答が散見された。設問の趣旨を正確に把握してほしい。 設問4は,正答率が平均的であった。“改ざん監視対象ファイルリスト”と比較する対象は,Webサーバ内の監視対象ファイルそのものの内容ではなく,“Webサーバ内の監視対象ファイルのリスト”であるが,その区別ができていないと思われる解答が散見された。比較対象となり得る監査証拠を識別する必要があることを理解してほしい。