平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25

✓ これが正解エ利用者のデータベースに対するアクセス状況を確認するために，アクセス記録を出力し内容を調査する。

解説

アクセス記録を出力し、アクセス状況を調べる手続です。

監査手続を選ぶときは、その手続で何を確かめるのかを、監査の目的と突き合わせます。この設問の目的は、データベースへの不正アクセスの防止と発見を目的としたアクセスコントロールが、基準どおりに整っているかを確かめることです。アクセス記録を出力して内容を調べれば、だれが、いつ、どのデータにアクセスしたかがわかります。許されていないアクセスが起きていないか、アクセスコントロールが決めたとおりに働いているかを、記録という証拠で確かめられます。目的に合った証拠を集められるのは、この手続です。

ほかの選択肢はなぜ違うのか

• ア利用者がデータベースにアクセスすることに…：業務が効率的に進むかをシステム仕様書で確かめる手続は、効率性を見るためのものです。監査手続としては成り立ちますが、不正アクセスを防ぐ仕組みや見つける仕組みが働いているかの証拠にはなりません。
• イ利用者がデータベースにアクセスするための…：操作ミスを起こしにくい画面かどうかを利用者に聞く手続は、使いやすさや誤操作の防止を見るものです。不正なアクセスを防ぐ、又は見つけるという目的からは外れていて、確かめたい点に届きません。
• ウ利用者が要求した応答時間が実現できている…：応答時間を測る手続は、要求どおりの性能が出ているかを確かめるものです。性能の確認としては意味がありますが、データベースへのアクセスが正しく制御されているかは、この測定からはわかりません。