令和5年度 科目A 問14

✓ これが正解ウテレワーキングで使用する PC へのマルウェア対策ソフト導入の要不要は，従業員それぞれが判断する。

解説

マルウェア対策ソフトの導入を従業員任せにしている点が指摘事項です。

情報セキュリティ監査で監査人が指摘事項とするのは、規程や運用が、拠り所とする基準の求める管理を満たしていない点です。見分ける軸は、その規程の内容がリスクを下げる方向に働いているか、それとも組織としての管理を手放しているかです。自宅のPCからインターネット経由で社内のネットワークに接続する場合、そのPCがマルウェアに感染していると、社内へ被害が広がるおそれがあります。マルウェアから守るための対策は組織として定めて実施すべきものであり、導入するかどうかを従業員それぞれの判断に委ねると、対策の抜けが生じます。ほかの三つは、利用の条件を定める、支給PCに限る、家族に使わせないという、リスクを抑える方向の取決めです。組織が決めるべき対策を個人任せにしている記述を探すと、指摘事項を見つけやすくなります。出題当時の設問は情報セキュリティ管理基準（平成28年）に従う前提で作られており、この基準はその後、令和7年に改正されています。

ほかの選択肢はなぜ違うのか

• アテレワーキング運用規程に従うことを条件に…：運用規程に従うことを条件にして全従業員に利用を認めるのは、利用のルールを先に定めたうえで認める取決めです。規程の順守を前提にしているので、基準に照らして不備とされる内容ではありません。
• イテレワーキングで従業員が使用する PC …：使用するPCを会社が支給したものに限定すると、会社がPCの設定や対策を管理できるようになります。私物のPCを使わせるよりリスクを抑える取決めであり、指摘すべき不備には当たりません。
• エテレワーキングで使用する PC を，従業…：テレワーキング用のPCを家族に使わせないことは、業務の情報を見られたり、家族の操作でマルウェアを持ち込まれたりするおそれを減らす取決めです。管理を強める方向の内容なので、指摘事項にはなりません。