平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25

解説

データベースの直接修正は，アプリケーションの機能（入力チェックや承認処理，正規の更新ログの記録など）を経由しないため，本来であれば事前の承認や事後の確認，作業記録の保全など，統制を補うための管理策が求められます。設問の選択肢のうち，更新ログを加工して，直接修正であったにもかかわらずアプリケーションの機能を経由した正常な処理によるログであるかのように偽装する行為は，データの改ざんの事実を隠蔽し，監査証跡そのものの信頼性を損なう重大な問題であり，監査人がシステム監査報告書で報告すべき指摘事項に当たります。他の選択肢（事前・事後の承認の実施，未使用時の特権 ID の無効化，データ変更依頼票に基づく実施）は，いずれも直接修正に伴うリスクを低減するための適切な統制であり，指摘事項には当たりません。

選択肢ごとの解説

• ア正しい。更新ログを加工して，直接修正を正常な処理によるログであるかのように偽装することは，監査証跡を偽る重大な問題であり，監査報告書で報告すべき指摘事項です。
• イ誤り。事前のデータ変更申請の承認及び事後のデータ変更結果の承認を行うことは，直接修正に対する適切な統制であり，指摘事項には当たりません。
• ウ誤り。直接修正の作業時以外は直接修正用の特権 ID を無効にしておくことは，不要な特権 ID の悪用を防ぐ適切な統制であり，指摘事項には当たりません。
• エ誤り。利用部門からのデータ変更依頼票に基づいてシステム部門が直接修正を実施することは，依頼と実施の役割を分離した適切な手続であり，指摘事項には当たりません。