情報セキュリティ関連規程の見直しに関するセキュリティ監査

平成31年度春期システム監査技術者試験午後Ⅱ 問題問2「情報セキュリティ関連規程の見直しに関するセキュリティ監査」についてである。

問題文

サイバー攻撃，個人情報規制，テレワーク，スマートデバイス，クラウド利用拡大などに伴って変化するリスクに，組織全体で対応するためには，情報セキュリティ関連規程（以下，関連規程という）を適時に見直すことが求められる。この関連規程には，情報セキュリティ基本方針，その詳細な管理策，実施手順などが含まれる。

また，関連規程の見直しによって，各部署で管轄するハードウェア，ソフトウェア，ネットワークなどの多くの IT 資産の管理及びその利用に大きな影響を与えることになるので，組織には，見直した関連規程を十分に周知徹底することが求められる。

関連規程を効果的で実現可能な内容に見直すためには，目的，適用時期，適用範囲，対応技術などを適切に検討する手続が必要である。さらに，見直した関連規程が適切に運用されるためには，単に社員教育だけでなく，影響する IT 資産・利用者の範囲，組織体制などを考慮した周知手続，進捗管理，適用上の課題解決などが重要である。

システム監査人は，このような点を踏まえ，関連規程の見直しが適切な手続に基づいて実施されているかどうか確かめる必要がある。また，見直した関連規程が全ての部署に適切に周知徹底されるように計画され，実施されているかどうかについても確かめる必要がある。

あなたの経験と考えに基づいて，設問ア～ウに従って論述せよ。