令和3年度春期 応用情報技術者試験 午前 問58

正解：ウ

AI解説

マルウェア対策の監査では、組織として認可していないソフトウェア（シャドーIT）の使用は、たとえマルウェアスキャンを実施していても管理上の重大な問題であり、指摘事項として監査報告書に記載すべき事項である。 ア: Webページに対してマルウェア検出のスキャンを行っていることは適切な対策の実施状況であり、指摘事項には該当しない。 イ: マルウェア被害を想定した事業継続計画の策定は望ましい備えであり、指摘事項には該当しない。 ウ: スキャンを実施していても組織が認可していないソフトウェアを使用している状態は、シャドーITとしてセキュリティ管理上の問題であり、監査人が指摘すべき事項として正解である。 エ: 脆弱性情報を収集し必要に応じて修正コードを適用し脆弱性低減を図ることは適切な運用であり、指摘事項には該当しない。 💡 「対策をしているから安全」ではなく「そもそも許可されていないものを使っている」という統制上の逸脱が監査での指摘対象になりやすい点に注意する。