令和5年度 秋期 午前Ⅱ 問25
システム監査
直接修正に関する問題
データベースの直接修正に関して，監査人が，システム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，特権 ID を使用してデータを追加，変更又は削除することをいう。
- ア更新ログ上は，アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
- イ事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
- ウ直接修正の作業終了時には，直接修正用の特権 ID を無効にしていた。
- エ利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。
答えと解説を見る
✓ これが正解ア更新ログ上は，アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
解説
直接修正を通常の更新として記録すると、後から識別できず不備です。
この問では、4つの状況のうち、統制上の不備として報告すべきものを選びます。直接修正は、アプリケーションソフトウェアの機能を通さずに特権 ID でデータを変更する作業なので、通常の処理より誤りや不正が入り込みやすくなります。そのため、直接修正を行ったことが後から確実に分かる記録を残すことが大切です。更新ログに、アプリケーションソフトウェアの機能を経由した更新として記録されていると、直接修正を他の更新と区別できません。事後の点検や追跡ができなくなるので、監査人が報告すべき指摘事項になります。
ほかの選択肢はなぜ違うのか
- イ事前のデータ変更申請の承認，及び事後のデ…：データ変更の前に申請を承認し、変更の後にも結果を承認しているので、作業の前後で確認が働いています。直接修正のリスクを抑える適切な統制であり、指摘事項には当たりません。
- ウ直接修正の作業終了時には，直接修正用の特…：作業が終わった時点で直接修正用の特権 ID を無効にすれば、その ID が作業以外に使われることを防げます。特権 ID の管理として適切な統制なので、報告すべき不備ではありません。
- エ利用部門からのデータ変更依頼票に基づいて…：利用部門の依頼票に基づいてシステム部門が作業しているので、依頼する側と実施する側が分かれ、根拠の記録も残ります。職務の分離が保たれており、指摘事項には当たりません。
この問題の用語
- データベースたくさんのデータを決まった形で貯め、探したり書き換えたりできるようにした仕組み。多くの人が同時に使うことを前提にしています。
- 監査人システム監査を行う人。作る側や運用する側から独立した立場を保ち、自分では作らずに規程や記録を見て確かめます。
- システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
- 監査報告書監査の結果と意見、改善の勧告をまとめて伝える文書のことです。原案は相手と意見交換し、事実誤認がないかを確かめます。
- 指摘事項監査で見つかった、直すべき点として報告書に書かれる事柄です。決まりどおりに行われていた行為は、ここには含まれません。
- アプリケーションソフトウェア利用者の目的に直接こたえるソフトウェアで、表計算や会計、業務用の専用ソフトなどがあたります。機器そのものを動かす基本ソフトウェアの上で動きます。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- 作業工程を組み立てる、一つひとつの仕事の単位のことです。開始と終了、所要日数をもち、順序をつないで全体の日程を作ります。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25
同じ用語が出る問題
- 令和6年度 秋期 午前Ⅱ 問12：WAFに関する問題（アプリケーションソフトウェア）
- 令和4年度 秋期 午前Ⅱ 問25：SaaSに関する問題（監査人）
- 令和3年度 秋期 午前Ⅱ 問25：クラウドサービスに関する問題（システム監査）
- 令和3年度 春期 午前Ⅱ 問25：指摘事項として記載すべきもの（監査報告書）
- 令和2年度 10月 午前Ⅱ 問25：個人情報管理台帳に関する問題（指摘事項）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）