平成21年度 春期 午前Ⅱ 問1
システム監査
監査手続に関する問題
アクセス権限を管理しているシステムの利用者IDリストから,退職による権限喪失者が削除されていることを検証する手続として,最も適切なものはどれか。
- アアクセス権限削除申請書の全件について,利用者IDリストから削除されていることを確認する。
- イ最新の利用者IDリストの全件について,対応するアクセス権限削除申請書が存在しないことを確認する。
- ウ人事発令簿の退職者の全件について,利用者IDリストから削除されていることを確認する。
- エ利用者IDリストの更新履歴の全件について,対応するアクセス権限削除申請書の存在を確認する。
答えと解説を見る
✓ これが正解ウ人事発令簿の退職者の全件について,利用者IDリストから削除されていることを確認する。
解説
退職の事実を記録した人事発令簿を起点に、IDの削除を全件確かめます。
検証したいのは、退職した人のIDが一つ残らず消えているかという網羅性です。見分ける軸は、どの資料を出発点にして照合するかです。退職という事実そのものを記録しているのは人事発令簿なので、そこに載った退職者の全件を起点に利用者IDリストを当たれば、削除の申請が出されなかった人まで漏れなく拾えます。申請書を起点にすると、申請が出ていない退職者はそもそも照合の対象に入りません。削除漏れを確かめる手続は、事実の発生を記録した独立の資料から処理結果の側へ向かって照合する、と覚えておくと見分けやすくなります。
ほかの選択肢はなぜ違うのか
- アアクセス権限削除申請書の全件について,利…:アクセス権限削除申請書を起点にしているため、申請が出された分の処理しか確かめられません。退職したのに申請が出されなかった人のIDが残っていても、この照合では見つからないままです。
- イ最新の利用者IDリストの全件について,対…:現在のIDリストに対して削除申請書が無いことを確かめても、退職者が残っていないことの裏付けにはなりません。申請が出ないまま残った退職者のIDは、申請書が無いので、この確認をそのまま通過してしまいます。
- エ利用者IDリストの更新履歴の全件について…:更新履歴と申請書を突き合わせると、行われた変更に承認の裏付けがあるかは分かります。しかし、行われるべきだったのに行われなかった削除は履歴に現れないので、退職者の削除漏れの検証にはなりません。
この問題の用語
- アクセス権限「アクセス権」と同じ意味です。参照だけができる許可と、書き換えもできる許可のように、種類に分けて示すときによく使われる言い方です。
- 利用者IDシステムが利用者を見分けるための名前。パスワードと組にして本人確認に使い、記録を誰の操作かに結び付けます。
出典:平成21年度 春期 システム監査技術者試験 午前Ⅱ 問1
同じ用語が出る問題
- 平成27年度 春期 午前Ⅱ 問21:PCI DSSに関する問題(利用者ID)
- 平成27年度 春期 午前Ⅱ 問10:入力漏れに関する問題(アクセス権限)
- 平成22年度 春期 午前Ⅱ 問14:内部統制の固有の限界に当たる事象(アクセス権限)
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する(メールが開きます)