平成30年度 春期 午前 問58
システム監査
アクセス権に関する問題
システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち，監査人がシステム監査報告書で報告すべき指摘事項はどれか。
- アアクセス権を付与された利用者 ID・パスワードに関して，システム利用者が遵守すべき事項が規程として定められ，システム利用者に周知されていた。
- イ業務部門長によって，所属するシステム利用者に対するアクセス権の付与状況のレビューが定期的に行われていた。
- ウシステム利用者に対するアクセス権の付与・変更・削除に関する管理手続が，規程として定められていた。
- エ退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は，定期人事異動がある年度初めに全てまとめて行われていた。
答えと解説を見る
✓ これが正解エ退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は，定期人事異動がある年度初めに全てまとめて行われていた。
解説
都度やるべき削除を年度初めまで待っています。
設問は、アクセス権の管理状況を調べた監査で、監査人がシステム監査報告書に指摘事項として書くべき状況を選ばせています。軸になるのは、その状況が良好と評価されるのか、それとも直すべき点として残るのかという向きです。指摘事項とは問題が見つかった事柄なので、うまくできている状況をここに書くことはありません。したがって、四つの状況を良好か否かに振り分け、一つだけ向きが違うものを拾えば答が決まります。問題があるのは、退職や異動によって不要になった権限の削除や変更を、定期人事異動のある年度初めまでためておく運用です。事由が生じた時点から次の年度初めまで、業務上その権限を必要としない人がシステムに入れる状態が続きます。待たされた期間そのものが危険になるので、この手当ては事由が発生した都度、直ちに行うのが原則です。この型では、定期でよいものと都度でなければならないものを分けて読むのが要点になります。
ほかの選択肢はなぜ違うのか
- アアクセス権を付与された利用者 ID・パス…：利用者が守るべき事項が規程として定められ、周知まで行き届いていた状況です。決まりが伝わっているのですから良好と評価され、報告書に書き残す問題ではありません。
- イ業務部門長によって，所属するシステム利用…：業務部門長が所属する利用者への付与状況を定期的に見直していた状況です。棚卸しの性格を持つ確認なので定期で足り、行われている以上は望ましい運用に当たります。
- ウシステム利用者に対するアクセス権の付与・…：付与と変更と削除の管理手続が規程として定められていた状況です。手順が文書になっていることは整備できている証しであり、直すべき点として残るものではありません。
この問題の用語
- アクセス権誰がどの情報に対して何をしてよいか（参照だけか、書き換えもできるか）を定めた許可。必要のない範囲へ手が届かないよう、担当ごとに線を引きます。
- 監査人システム監査を行う人。作る側や運用する側から独立した立場を保ち、自分では作らずに規程や記録を見て確かめます。
- システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
- 監査報告書監査の結果と意見、改善の勧告をまとめて伝える文書のことです。原案は相手と意見交換し、事実誤認がないかを確かめます。
- 指摘事項監査で見つかった、直すべき点として報告書に書かれる事柄です。決まりどおりに行われていた行為は、ここには含まれません。
- パスワード本人だけが知っているという前提で使う合言葉。他人に知られた時点で、本人確認の役目を果たさなくなります。
- 部門組織の中で、仕事の種類や担当ごとに分けられたまとまりです。専門ごとに分ける分け方と、製品や地域ごとに分ける分け方があります。
- レビュー決めたことや作ったものを、あらためて見直すことをいいます。設計書やプログラムの誤りを早く見つけるために、関係者で行うことが多いです。
出典：平成30年度 春期 応用情報技術者試験 午前 問58
同じ用語が出る問題
- 令和7年度 秋期 午前 問59：監査人が行うフォローアップ（監査報告書）
- 令和7年度 秋期 午前 問58：システム監査基準に関する問題（監査人）
- 令和7年度 春期 午前 問60：ユーザ受入テストに関する問題（レビュー）
- 令和7年度 春期 午前 問59：システム監査における“監査手続”（指摘事項）
- 令和7年度 春期 午前 問39：セキュリティクリアランスの問題（アクセス権）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）