令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25
マネジメント／システム監査データベースの直接修正に関して，監査人が，システム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，特権 ID を使用してデータを追加，変更又は削除することをいう。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25
- ア更新ログ上は，アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
- イ事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
- ウ直接修正の作業終了時には，直接修正用の特権 ID を無効にしていた。
- エ利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。
正解：ア
解説
特権 ID による直接修正は，アプリケーションソフトウェアに組み込まれた統制を経由しないため，実施された事実と内容が事後に追跡できることが重要です。更新ログ上でアプリケーションの機能を経由した通常のデータ更新と同じように記録されていると，直接修正が行われたことを識別できず，申請・承認内容との突合や事後検証ができません。したがって，監査人が報告すべき指摘事項に該当します。
選択肢ごとの解説
- ア正しい。直接修正がアプリケーション経由の更新として記録されていると直接修正の事実を追跡・検証できないため，指摘事項に該当します。
- イ誤り。事前のデータ変更申請の承認と事後の変更結果の承認は，直接修正に対する適切な統制であり，指摘事項ではありません。
- ウ誤り。作業終了時に直接修正用の特権 ID を無効にするのは，特権 ID の悪用を防ぐ適切な統制です。
- エ誤り。利用部門からの依頼票に基づいてシステム部門が実施するのは，職務分離の観点からも適切な運用です。