サイバーセキュリティ対策の有効性に関する監査について

システム監査人は、組織のサイバーセキュリティ対策が事業リスクに見合った水準で整備・運用されているかを評価することが求められる。 サイバーセキュリティ対策は、技術的・組織的・物理的統制が組み合わさる多層構造であり、近年はランサムウェア、サプライチェーン攻撃、生成AIを悪用した攻撃手法、リモートワーク環境の脆弱性など、リスク要素が多様化している。監査では、リスクアセスメントの妥当性、対策設計の網羅性、運用の継続性、インシデント対応、外部委託先の管理、関連法令・業界ガイドラインとの整合性などを評価する必要がある。 監査の計画・実施にあたっては、限られたリソースの中で重点監査項目を特定し、技術評価と組織統制評価を組み合わせ、指摘・改善提言が経営層・現場・委託先それぞれに伝わる形で提示することが重要である。 あなたの経験と考えに基づいて、設問ア〜ウに従って論述せよ。 設問ア：あなたが携わった監査の対象組織の概要と、サイバーセキュリティ対策の整備状況及び監査の背景について、800字以内で述べよ。 設問イ：設問アで述べた背景を踏まえて、あなたが実施したサイバーセキュリティ監査の手続内容と、計画上で重視した点を、800字以上1,600字以内で具体的に述べよ。 設問ウ：設問イで述べた監査について、指摘・改善提言の取りまとめ、関係者との合意形成、及び評価と今後の改善点を、600字以上1,200字以内で具体的に述べよ。