問9 インシデント管理の監査の指摘

情報セキュリティマネジメント試験令和5年度公開問題、全15問のうちの問9。

情報システムのインシデント管理に対する監査で判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

アインシデント対応手順が作成され，関係者への周知が図られている。
イインシデントによってデータベースが被害を受けた場合の影響を最小にするために，規程に従ってデータのバックアップをとっている。
ウインシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。
エ全てのインシデントについて，インシデント記録を残し，責任者の承認を得ることが定められている。

答えと解説を開く

正解はウです。

監査報告書に指摘事項として書くのは、管理に問題があり、改善が必要な状況です。インシデントは、種類や起きた場所、影響の大きさによって、知らせるべき相手や急ぎ方が違います。影響の大きいインシデントは経営層まですぐに上げる必要がありますが、ルートが一律だと、それが遅れたり、担当でない人に回ったりします。ウは改善が必要な状況なので、指摘事項になります。正解はウです。

ほかの選択肢が違う理由

ア対応手順を作り、関係者に知らせているのは、インシデント管理として適切な状況です。指摘する点ではありません。
イ規程に従ってバックアップを取り、被害を小さくする備えをしているのは適切な状況です。
エ全てのインシデントの記録を残し、責任者が承認する決まりがあるのは、記録と責任をはっきりさせる適切な管理です。

仕組み

監査の指摘事項を選ぶ問は、選択肢のうち「できていないこと」「危ういこと」を探します。適切にできている状況は、指摘ではなく、良い点として扱われます。

インシデント管理では、影響の大きさで優先度を決め、それに応じて報告の相手や速さを変える (エスカレーション) のが基本です。