令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25

解説

金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準”では，IT に係る内部統制を，IT に係る全般統制と IT に係る業務処理統制などに分類しています。IT に係る業務処理統制は，個々の業務（アプリケーションシステム）に組み込まれ，入力情報の正確性・完全性・正当性の確保や，利用者の認証・アクセス制御など，業務処理そのものに直接関わる統制です。これに対し，組織全体としてのアクセス管理規程の策定や権限設定方針の周知，利用者教育などは，業務処理統制が有効に機能する基盤・環境を整備する IT に係る全般統制に分類されます。

選択肢ごとの解説

• ア誤り。組織としてアクセス管理規程を定め，統一的なアクセス管理を行うことは，個々の業務処理を支える基盤の整備であり，IT に係る全般統制に該当します。
• イ誤り。組織としてアクセス権限の設定方針を定め周知徹底を図ることも，全社的な統制環境の整備であり，IT に係る全般統制に該当します。
• ウ正しい。組織内のアプリケーションシステムに，利用者 ID とパスワードによって利用者を認証する機能を設けることは，個々の業務処理（アプリケーション）に組み込まれた統制であり，IT に係る業務処理統制に該当します。
• エ誤り。組織内の全ての利用者に対するアクセス管理の重要性についての教育は，組織全体に関わる統制活動であり，IT に係る全般統制に該当します。