消費者を対象とした電子商取引システムの監査

平成27年度 春期 システム監査技術者試験 午後Ⅱ 問題 問2「消費者を対象とした電子商取引システムの監査」についてである。

問題文

情報技術の発展に伴い，インターネットを利用して消費者が商品を手軽に購入できる機会が増えてきている。これらの消費者を対象とした電子商取引の市場規模はますます拡大し，その形態も企業対個人取引 (BtoC)，インターネットオークションなどの個人対個人取引 (CtoC) など，多様化している。最近では，ソーシャルネットワーク，全地球測位システム (GPS) などの情報と取引履歴情報とを組み合わせたビッグデータの分析・活用によるマーケティングなども広がりつつある。

一方，BtoC 又は CtoC のビジネスは，不特定多数の個人が対象であることから，情報システムの機密性が確保されていないと，氏名，住所，クレジットカード番号などの個人情報が漏えいするおそれがある。

また，取引データの完全性が確保されていないと，取引の申込み又は承諾のデータが消失したり，不正確な取引情報を記録したりするなど，契約成立又は取引に関わる判断根拠がなくなるおそれがある。

さらに，可用性が確保されていないと，一度に大量の注文が集中して情報システムがダウンするなどして，取引が妨げられて販売機会を逃すことによる損失が生じたり，損害賠償を請求されたりする可能性もある。

システム監査人は，このような点を踏まえて，消費者を対象とした電子商取引システムに関わる機密性，完全性及び可用性のリスクを評価して，リスクを低減するためのコントロールが適切に機能しているかどうかを確かめる必要がある。

あなたの経験と考えに基づいて，設問ア～ウに従って論述せよ。

設問ア

あなたが関係する消費者を対象とした電子商取引システムについて，その概要とビジネス上の特徴，及び情報システムを運営する立場から重要と考えるリスクを 800 字以内で述べよ。

設問イ

設問アで述べた情報システムにおいて実施すべきと考える機密性，完全性及び可用性を確保するためのそれぞれのコントロールについて，700 字以上 1,400 字以内で具体的に述べよ。

設問ウ

設問イで述べたコントロールの適切性を監査する場合の手続きについて，監査証拠及び確かめるべきポイントを踏まえて，700 字以上 1,400 字以内で具体的に述べよ。