情報セキュリティマネジメント 平成28年度 春期 午前 問37

✓ これが正解イ スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。

解説

ロジックを随時変えて上書き保存する運用は指摘の対象です。

監査で指摘事項として挙げるのは、望ましくない状態が見つかったものです。四つのうち三つは定めや手順に沿った行いで、一つだけがそこから外れています。スプレッドシートに組み込まれたロジックを、業務上の必要に応じて随時変更し上書き保存していたという行いは、変更する前の内容が残らないため、いつだれが何を変えたのかを後からたどれません。承認も記録もないまま計算の中身が入れ替わるので、出てきた数値がどのロジックで求められたものかを確かめられなくなります。これは変更管理が働いていない状態なので、指摘事項に当たります。表計算のファイルは利用者が手元で自由に作り替えられるぶん、こうした管理が抜けやすいところです。

ほかの選択肢の解説

• ア …の正確性を，検算によって確認していた。：組み込まれたロジックの正しさを検算によって確かめていた行いは、計算の中身を裏づける取組です。定めから外れた状態ではないので、監査で改めるよう求める対象にはなりません。
• ウ スプレッドシートにパスワードを付した上で，アクセスコントロールが施されたサーバに保管していた。：パスワードを付したうえで、アクセスコントロールが施されたサーバに保管していた行いは、扱える人を限るための備えです。望ましい取扱いであり、改めるよう求める対象にはなりません。
• エ スプレッドシートを所定のルールに従ってバックアップしていた。：所定のルールに従って控えを取っていた行いは、失われたり壊れたりしたときに元へ戻すための備えです。定めどおりに行われている以上、監査で取り上げる理由がありません。