令和2年度 10月 システム監査技術者試験 午前Ⅱ 問9

解説

データベースの直接修正は，アプリケーションの入力統制や承認機能を経由しない例外的な処理であるため，実施の適切性を確保するための統制（承認，特権IDの管理，証跡の保全など）が特に重要となる。更新ログを加工し，あたかもアプリケーションソフトウェアの機能を経由した正常な処理であるかのように偽装する行為は，直接修正の実態を隠蔽するものであり，監査証跡の信頼性そのものを損なう重大な問題であるため，指摘事項として報告すべきである。事前・事後の承認，作業時以外の特権ID無効化，利用部門からの依頼票に基づく実施は，いずれも適切な統制の例である。

選択肢ごとの解説

• ア正しい。更新ログを加工し，直接修正をアプリケーションの機能を経由した正常な処理によるログとして偽装することは，監査証跡の信頼性を損なう重大な問題であり，指摘事項として報告すべきです。
• イ誤り。事前のデータ変更申請の承認及び事後のデータ変更結果の承認を行うことは，直接修正に対する適切な統制の例であり，指摘事項には当たりません。
• ウ誤り。直接修正の作業時以外は特権IDを無効にしておくことは，不正利用を防止する適切な統制の例であり，指摘事項には当たりません。
• エ誤り。利用部門からの正式なデータ変更依頼票に基づいてシステム部門が直接修正を実施することは，適切な手続に基づく対応であり，指摘事項には当たりません。