システム監査・内部統制｜平成28年度 春期 情報セキュリティマネジメント試験 午前 問37

• スプレッドシートに組み込まれたロジックの正確性を，検算によって確認していた。
• ✓ これが正解スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。
• スプレッドシートにパスワードを付した上で，アクセスコントロールが施されたサーバに保管していた。
• スプレッドシートを所定のルールに従ってバックアップしていた。

解説

ロジックを随時変えて上書き保存する運用は指摘の対象です。

監査で指摘事項として挙げるのは、望ましくない状態が見つかったものです。四つのうち三つは定めや手順に沿った行いで、一つだけがそこから外れています。スプレッドシートに組み込まれたロジックを、業務上の必要に応じて随時変更し上書き保存していたという行いは、変更する前の内容が残らないため、いつだれが何を変えたのかを後からたどれません。承認も記録もないまま計算の中身が入れ替わるので、出てきた数値がどのロジックで求められたものかを確かめられなくなります。これは変更管理が働いていない状態なので、指摘事項に当たります。表計算のファイルは利用者が手元で自由に作り替えられるぶん、こうした管理が抜けやすいところです。

ほかの選択肢はなぜ違うのか

• 組み込まれたロジックの正しさを検算によって確かめていた行いは、計算の中身を裏づける取組です。定めから外れた状態ではないので、監査で改めるよう求める対象にはなりません。
• パスワードを付したうえで、アクセスコントロールが施されたサーバに保管していた行いは、扱える人を限るための備えです。望ましい取扱いであり、改めるよう求める対象にはなりません。
• 所定のルールに従って控えを取っていた行いは、失われたり壊れたりしたときに元へ戻すための備えです。定めどおりに行われている以上、監査で取り上げる理由がありません。

この問題に関係する言葉

• システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
• 変更管理すべての変更を、評価し承認し実施し見直すことを確実にする活動です。未知の原因を突き止めて再発を防ぐ問題管理とは、目的が違います。
• 指摘事項監査で見つかった、直すべき点として報告書に書かれる事柄です。決まりどおりに行われていた行為は、ここには含まれません。
• スプレッドシート表の形で計算や集計を行う、利用者が自分で作れるソフトのことです。組み込んだ計算を随時変えて上書きする使い方は、指摘の対象になります。

出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問37

この問題を演習で解く

同じ単元をまとめて解くならシステム監査・内部統制へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）