平成30年度 春期 応用情報技術者試験 午前 問58
マネジメント／システム監査システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち，監査人がシステム監査報告書で報告すべき指摘事項はどれか。
出典：平成30年度 春期 応用情報技術者試験 午前 問58
- アアクセス権を付与された利用者 ID・パスワードに関して，システム利用者が遵守すべき事項が規程として定められ，システム利用者に周知されていた。
- イ業務部門長によって，所属するシステム利用者に対するアクセス権の付与状況のレビューが定期的に行われていた。
- ウシステム利用者に対するアクセス権の付与・変更・削除に関する管理手続が，規程として定められていた。
- エ退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は，定期人事異動がある年度初めに全てまとめて行われていた。
正解：エ
解説
退職・異動したシステム利用者のアクセス権が速やかに削除・変更されず，定期人事異動のタイミングまで放置されると，退職者・異動者による不正アクセスのリスクが高まるため，監査人が報告すべき指摘事項に当たります。
選択肢ごとの解説
- ア誤り。利用者IDやパスワードの遵守事項が規程化され周知されているのは，適切な統制が機能している状況であり，指摘事項には当たりません。
- イ誤り。業務部門長によるアクセス権付与状況の定期レビューが行われているのは，適切な統制が機能している状況であり，指摘事項には当たりません。
- ウ誤り。アクセス権の付与・変更・削除に関する管理手続が規程として定められているのは，適切な統制が整備されている状況であり，指摘事項には当たりません。
- エ正しい。退職・異動者のアクセス権の削除・変更が年度初めにまとめて行われている状態は，その間不要なアクセス権が有効なまま放置されるリスクがあり，監査人が報告すべき指摘事項です。