平成30年度 春期 午前Ⅱ 問25
システム監査
直接修正に関する問題
データベースの直接修正に関して，監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションの機能を経由せずに，特権 ID を使用してデータを追加，変更又は削除することをいう。
- ア更新ログを加工して，アプリケーションの機能を経由した正常な処理によるログとして残していた。
- イ事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
- ウ直接修正の作業時以外は，使用する直接修正用の特権 ID を無効にしていた。
- エ利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。
答えと解説を見る
✓ これが正解ア更新ログを加工して，アプリケーションの機能を経由した正常な処理によるログとして残していた。
解説
更新ログを加工して正常処理に見せる行為は、指摘すべき事項です。
システム監査で指摘事項として報告するのは、コントロールが欠けていたり不適切だったりする事実です。直接修正は、アプリケーションの機能を経由せずに特権 ID でデータを変えるので、誰がいつ何を変えたかを後から確かめられることが特に大切です。更新ログを加工して、アプリケーションを通した正常な処理のログに見せかけると、直接修正を行った事実そのものが追えなくなります。これは証跡の完全性を損なう行為で、監査人が報告すべき事項です。各選択肢は、統制が働いている状態か、統制を崩している状態かで見分けます。
ほかの選択肢はなぜ違うのか
- イ事前のデータ変更申請の承認，及び事後のデ…：データを変える前に申請を承認し、変えた後に結果を承認しているのは、直接修正に対する適切なコントロールです。統制が働いている状態なので、指摘事項には当たりません。
- ウ直接修正の作業時以外は，使用する直接修正…：作業のとき以外は直接修正用の特権 ID を無効にしておくのは、特権 ID の適切な管理です。不正な利用の機会を減らす統制なので、報告すべき問題点ではありません。
- エ利用部門からのデータ変更依頼票に基づいて…：利用部門のデータ変更依頼票に基づいてシステム部門が作業するのは、正式な手続を踏んだ直接修正です。依頼と実施の役割も分かれており、指摘すべき不備とは言えません。
この問題の用語
- データベースたくさんのデータを決まった形で貯め、探したり書き換えたりできるようにした仕組み。多くの人が同時に使うことを前提にしています。
- 監査人システム監査を行う人。作る側や運用する側から独立した立場を保ち、自分では作らずに規程や記録を見て確かめます。
- システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
- 監査報告書監査の結果と意見、改善の勧告をまとめて伝える文書のことです。原案は相手と意見交換し、事実誤認がないかを確かめます。
- 指摘事項監査で見つかった、直すべき点として報告書に書かれる事柄です。決まりどおりに行われていた行為は、ここには含まれません。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- 作業工程を組み立てる、一つひとつの仕事の単位のことです。開始と終了、所要日数をもち、順序をつないで全体の日程を作ります。
- 部門組織の中で、仕事の種類や担当ごとに分けられたまとまりです。専門ごとに分ける分け方と、製品や地域ごとに分ける分け方があります。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25
同じ用語が出る問題
- 令和5年度 秋期 午前Ⅱ 問25：直接修正に関する問題（監査報告書）
- 令和4年度 秋期 午前Ⅱ 問25：SaaSに関する問題（監査人）
- 令和3年度 秋期 午前Ⅱ 問25：クラウドサービスに関する問題（システム監査）
- 令和3年度 春期 午前Ⅱ 問25：指摘事項として記載すべきもの（指摘事項）
- 令和元年度 秋期 午前Ⅱ 問25：コントロールに関する問題（部門）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）