正解：エ
各選択肢の解説
ア業務で使うソフトウェアに、修正プログラムが未適用の欠陥が残っている。
誤り。これはセキュリティホールです。ソフトウェアの設計や実装の誤りによる 技術的な欠陥で、修正プログラムを適用して塞ぎます。管理が行き届いていない ように見えますが、弱点そのものはプログラムの側にあります。
イ電話で上司を名乗られると、確かめずにパスワードを教えてしまう社員がいる。
誤り。これは人的脆弱性です。人の油断や思い込みにつけ込まれる弱さで、 ソーシャルエンジニアリングの入口になります。教育や訓練で減らすもので、 業務の仕組みの欠陥とは分けて扱います。
ウメンバーが、会社の承認を得ずに外部のファイル共有サービスを業務に使っている。
誤り。これはシャドーITです。組織が把握も承認もしていない機器やサービスが 業務に使われている状態で、管理の目が届かないことが弱点になります。 手続の問題にも見えますが、指しているのは管理外の利用が起きている状態で、 確認と牽制の仕組みの欠け方を指す用語ではありません。
エ取引先の振込口座の登録と支払の承認を、同じ担当者が1人で完結できる。
正解。登録と承認を同じ人が行えると、誤りや不正を別の人が止める牽制が働きません。 職務を分けて互いに確かめる仕組みが欠けた、内部統制の不備です。
理解を深めるために
弱点がどこにあるかで呼び名が変わる
脆弱性というとソフトウェアの欠陥を思い浮かべがちですが、弱点はプログラムの中だけに あるわけではありません。人の振る舞いにも、業務の仕組みにもあります。 今回の4件は、弱点がプログラム・人・管理外の利用・業務の仕組みのどこにあるかで分かれます。
内部統制の不備とは何か
内部統制は、業務が正しく行われるよう組織の中に組み込んだ確認と牽制の仕組みです。 その代表が職務の分離で、1つの業務を複数の担当者に分け、互いの作業を確かめさせます。
- 振込口座の登録と支払の承認を同じ人が行えると、偽の口座を登録してそのまま支払える
- 悪意がなくても、取引先を装ったメール（ビジネスメール詐欺）にだまされた登録を誰も止められない
- 担当者がどれほど誠実でも、仕組みとして止める手段がないこと自体が弱点になる
対策は人の注意力に頼ることではなく、登録と承認の担当を分ける、承認の記録を残すなど、 業務の流れを作り直すことです。
混同しやすいものとの違い
| 脆弱性 | 弱点のある場所 | 主な対策 |
|---|---|---|
| 内部統制の不備 | 業務の確認・牽制の仕組み | 職務の分離、承認手続の整備 |
| セキュリティホール | ソフトウェアの設計・実装 | 修正プログラムの適用 |
| 人的脆弱性 | 人の油断・思い込み | 教育・訓練 |
| シャドーIT | 組織が把握していない機器・サービス | 利用実態の把握、承認手続の整備 |
脆弱性を洗い出したら、弱点のある場所に合った対策を選ぶことが大切です。 ソフトウェアを更新しても、1人で完結できる業務の弱点は残ります。