システム監査技術者午後I 事例記述令和6年 秋期
午後I 問1
問1 DevOpsを適用したシステム開発・運用の監査
テーマ：DevOpsを適用したシステム開発・運用の監査
左右2分割表示：左側の問題文をスクロールしながら右側の設問に解答できます
長文事例本文
図表クリックで拡大問1 DevOps を適用したシステム開発・運用の監査に関する次の記述を読んで,設問に答えよ。
A社は,衣料品などを販売する企業であり,EC サイトを構築し,運用している。A社 EC システムでは,EC サイトの頻繁な更新や新たなサービスへの迅速な対応が求められることから,アジャイル開発を採用してきた。また,EC システム以外の情報システムでもアジャイル開発が増加し,本番リリースの頻度が高くなってきたことから,システムの開発・運用プロセスを見直して DevOps を適用することになった。
EC システムにおける DevOps を適用した開発・運用プロセスについて,A社監査部のシステム監査チーム(以下,監査チームという)が監査を実施することになった。監査の主な観点は,リリースサイクルの短縮という DevOps の適用目的が達成されるような運用方法になっているかどうか,及び DevOps 特有の環境や開発・運用プロセスにおけるリスクに対応できているかどうかである。
〔EC システムの開発・運用プロセス〕
A社の EC システムにおける開発・運用プロセスの概要は図1のとおりである。
拡大
CI とは,プログラムの開発と単体テストを自動化することであり,CD とは,開発又は修正したモジュールを実行環境に移送して実行可能な状態にする作業(以下,デプロイという)を含めて自動化することである。自動化すると,一連の作業として本番リリースまで実行されるので,A社では,ウォーターフォール型開発でいう単体テスト以降の工程を,“ステージ”と呼んでいる。
A社の DevOps の環境の概要は,次のとおりである。
(1) 開発環境
エディター,コンパイラ,デバッガなどの開発ツール群が,開発担当者のローカルの環境に提供されている。
(2) リポジトリ
構成管理ツールによって,開発されたソースコードのバージョン管理機能及び保管先としてのリポジトリが提供される。ソースコードには,許可された開発担当者だけがアクセス可能である。また,インフラに関する設定情報を管理し,各ステージにおける環境設定の自動化を支援する。
(3) 実行環境
各ステージでは,ソースコードから実行可能なモジュールの生成(以下,ビルドという),デプロイ,テストなどの自動化を支援する各種のツール(以下,CI/CD ツールという)が準備されている。各ステージの概要は,次のとおりである。
1 単体テスト:開発環境から構成管理ツールにソースコードを格納し,モジュールのビルドから単体テストまでを実行する。単体テストを完了したモジュールがリポジトリに格納される。
2 機能テスト:実行環境にモジュールをデプロイし,機能要件の検証及び性能要件を除く非機能要件の検証を行う。
3 性能テスト:実行環境にモジュールをデプロイし,性能要件の検証を行う。
4 ユーザー受入テスト:実行環境にモジュールをデプロイし,機能要件を満たしているか,情報システムが使いやすいかなどの利用者観点の検証を行う。
5 本番リリース:本番の実行環境(以下,本番環境という)へのモジュールのデプロイを行う。
〔予備調査の実施〕
監査チームが,予備調査で把握した内容は,次のとおりである。
(1) 開発・運用の体制
EC システムにおける DevOps を適用した開発・運用の体制について,営業部の S 課長にインタビューした。S 課長は,EC システムの開発・運用に関する最終決定権と責任をもつプロダクトオーナーである。インタビューの結果分かったことは,次のとおりである。
1 S 課長の下に,利用部門としての要件整理と検証を行う業務チームがある。
2 機能ごとに五つのスクラム開発チーム(以下,開発チームという)があり,プログラムの開発からリリースまでを担当する。各開発チームの構成は,開発チームのリーダーであるスクラムマスター1名と 3〜6 名の開発担当者である。
3 共通チームは,コーディングルールや CI/CD ツールの効果的な使用方法についての標準化など,各開発チームに共通する課題を担当する。
4 運用チームは,主にサーバやネットワークの構築及び運用を担当する。
(2) 開発・運用の状況
DevOps を適用した開発・運用の状況について,複数の開発チームのスクラムマスター及び開発担当者へのインタビューの結果分かったことは,次のとおりである。
1 DevOps では,開発担当者が CI/CD ツールを利用して,本番環境を含む各実行環境にデプロイすることが可能である。CI/CD ツールでは,各環境へのデプロイの権限及びアクセス可能な環境や期間を開発担当者ごとに設定できる。また,デプロイや設定変更が行われると,指定した者に通知されるように設定できる。
2 DevOps の適用によってリリースサイクルを短くしていくために,CI/CD ツールを活用して本番リリースまでのステージの早期の自動化を目指している。
3 各開発チームには開発スキルの高いメンバーが集まっており,それぞれが自分の担当する機能の開発に集中して作業しているので,プログラム開発の生産性は高く,単体での品質は高い状況である。しかし,先日,他チームの進捗遅延の支援のためにプログラムの修正を行った際に,担当したメンバーが修正前のプログラムを理解するのに時間が掛かり,生産性が期待よりも低いことがあった。
4 CI/CD ツールの自動化の設定については,開発担当者の習熟度に応じて適用範囲を順次拡大していく計画である。リリースサイクルの短縮の第一段階となる単体テストステージでは,各スクラムマスターが開発担当者の権限を設定している。
〔監査手続の検討〕
監査チームは,予備調査の結果を踏まえて,EC システムにおける DevOps を適用した開発・運用についてリスクを分析し,監査手続を検討している。〔予備調査の実施〕(2)開発・運用の状況1〜4について検討した内容は,次のとおりである。
(1) 1のような状況下では,未承認のプログラムが本番環境にデプロイされてしまうリスクに対して,従来のウォーターフォール型開発で必要とされてきたコントロールを適用することは適切ではない。CI/CD ツールの設定による予防的なコントロールや未承認のデプロイを適時に発見するコントロールによってリスクの低減を図る必要があるので,これらのコントロールが設定されているかどうかを確認する。
(2) 2について,CI/CD ツールによってテストを自動化するステージの範囲を設定でき,DevOps の適用目的の達成を可能とすることは理解できる。しかし,全てのステージを自動化するべきではないので,自動化の検討範囲について確認する。
(3) 3について,共通チームが役割を十分に果たせていない可能性があるので,スクラムマスターにインタビューして確認する。
(4) 4について,DevOps の適用目的を達成できるようになっているかどうか,CI/CD ツールの運用方法を確認する。
拡大図1 A社のECシステムにおける開発・運用プロセスの概要
設問一覧 ＆ 解答・演習
まずは解答を作成してみましょう。「解答例を見る」をクリックするとIPA公式解答例と採点基準が開きます。
設問1 (i)記述問題
制限字数：15 字以内
〔監査手続の検討〕(1)について,(i),(ii),(iii)に答えよ。
(i) 監査チームが考えた,“従来のウォーターフォール型開発で必要とされてきたコントロール”とは何か。15字以内で答えよ。
(i) 監査チームが考えた,“従来のウォーターフォール型開発で必要とされてきたコントロール”とは何か。15字以内で答えよ。
0 / 15 文字
設問1 (ii)記述問題
制限字数：40 字以内
〔監査手続の検討〕(1)について,(i),(ii),(iii)に答えよ。
(ii) CI/CD ツールの設定による予防的コントロールの具体的な内容を,40字以内で答えよ。
(ii) CI/CD ツールの設定による予防的コントロールの具体的な内容を,40字以内で答えよ。
0 / 40 文字
設問1 (iii)記述問題
制限字数：45 字以内
〔監査手続の検討〕(1)について,(i),(ii),(iii)に答えよ。
(iii) CI/CD ツールの設定による発見的コントロールの具体的な内容を,45字以内で答えよ。
(iii) CI/CD ツールの設定による発見的コントロールの具体的な内容を,45字以内で答えよ。
0 / 45 文字
設問2記述問題
制限字数：30 字以内
〔監査手続の検討〕(2)について,監査チームが確認しようとしている内容を,30字以内で答えよ。
0 / 30 文字
設問3記述問題
制限字数：30 字以内
〔監査手続の検討〕(3)について,監査チームが,共通チームが十分に果たせていないと考えた役割を,30字以内で答えよ。
0 / 30 文字
設問4記述問題
制限字数：45 字以内
〔監査手続の検討〕(4)について,監査チームが確認すべき具体的な内容を,45字以内で答えよ。
0 / 45 文字
午後I長文記述の得点力を引き上げる定番対策書Amazon・楽天 公式提携
PR
川辺 良和 著 / アイテック
システム監査技術者「専門知識＋午後問題」の重点対策
💡 推薦ポイント:午後I記述式で頻出する「何を（監査証拠）」「どのように確かめるか（監査手続）」を制限字数内で正確にまとめる実践力が身につきます。
¥3,740（税込）
※本リンク先はプロモーション（アフィリエイト広告）が含まれています
【出題趣旨】IPA公式発表
【採点講評】IPA公式発表
本問に関連するシステム監査技術者重要用語解説
本番形式・制限時間付きで演習する
令和6年 秋期 午後I（2問選択・90分）を実戦演習モードで通し解答し、総合採点を受けられます。