平成28年度 春期 情報セキュリティマネジメント試験 午前 問37
マネジメント／システム監査スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問37
- アスプレッドシートに組み込まれたロジックの正確性を，検算によって確認していた。
- イスプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。
- ウスプレッドシートにパスワードを付した上で，アクセスコントロールが施されたサーバに保管していた。
- エスプレッドシートを所定のルールに従ってバックアップしていた。
正解：イ
解説
スプレッドシートに組み込まれたロジックを業務上の必要に応じて随時変更し上書き保存する行為は、変更履歴が残らず、誤りの混入や不正な改ざんを検知できなくなるため、コントロール上の不備として指摘事項に該当します。
選択肢ごとの解説
- ア誤り。ロジックの正確性を検算によって確認する行為は、適切な統制活動であり、指摘事項には該当しません。
- イ正しい。ロジックを随時変更し上書き保存する行為は、変更管理が行われておらず、指摘事項に該当します。
- ウ誤り。パスワードを付し、アクセスコントロールが施されたサーバに保管する行為は、適切なアクセス管理であり、指摘事項には該当しません。
- エ誤り。所定のルールに従ってバックアップする行為は、適切な運用管理であり、指摘事項には該当しません。