基本情報技術者試験 - 令和5年公開問題 - 問14

A社では，従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程について，情報セキュリティ管理基準（平成28年）に従って監査を実施した。判明した事項のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

ア	テレワーキング運用規程に従うことを条件に，全ての従業員が利用できる。
イ	テレワーキングで従業員が使用するPCは，A社から支給されたものに限定する。
ウ	テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は，従業員それぞれが判断する。
エ	テレワーキングで使用するPCを，従業員の家族に使用させない。

◀ 問13　|　▲ 令和5年公開問題問題一覧　|　問15 ▶

答え：ウ
分野：マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説：
テレワーキング運用規程について，情報セキュリティ監査の指摘事項として記載すべきものを選ぶ問題です。

マルウェア対策ソフトの導入の要不要を従業員それぞれの判断に委ねてしまうと，対策が不十分な従業員のPCを経由して組織全体がセキュリティリスクにさらされる可能性があるため，これは監査人が指摘すべき事項に該当し，正解は選択肢「ウ」です。

「ア」はテレワーキング運用規程に従うことを条件に全従業員が利用できるという内容であり，これは特に問題のある運用とは言えません。

「イ」は使用するPCをA社から支給されたものに限定するという内容であり，これはむしろ会社が管理しやすい望ましい対策といえます。

「エ」は家族に使用させないという内容であり，これも情報漏えいのリスクを減らすための適切な対策です。

マルウェア対策のような基本的なセキュリティ対策を個人の判断に委ねてしまうことは，組織全体のセキュリティレベルを不安定にする要因となるため，統一的なルールを定めることが望ましいという考え方がこの問題の核心です。