令和2年度 10月 午前Ⅱ 問9
システム監査
特権IDに関する問題
データベースの直接修正に関して，監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，特権IDを使用してデータを追加，変更又は削除することをいう。
- ア更新ログを加工して，アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。
- イ事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
- ウ直接修正の作業時以外は，使用する直接修正用の特権IDを無効にしていた。
- エ利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。
答えと解説を見る
✓ これが正解ア更新ログを加工して，アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。
解説
更新ログを加工して正常処理に見せかけるのは報告すべき問題です。
見分ける軸は、直接修正という例外的な操作が、事後に検証できる形で管理されているかです。特権IDによる直接修正は、アプリケーションソフトウェアの入力チェックや承認の仕組みを通らないため、誰がいつ何を変えたかを記録し、後から確かめられることが重要です。更新ログを加工して、アプリケーションの機能を経由した正常な処理のログとして残すと、直接修正が行われた事実そのものが記録から消え、監査人も管理者も検証できなくなります。ログの完全性を損なう行為なので、監査報告書で指摘すべき事項です。統制を強める行為か、記録を偽る行為かで分けると選べます。
ほかの選択肢はなぜ違うのか
- イ事前のデータ変更申請の承認，及び事後のデ…：事前にデータ変更申請を承認し、事後にデータ変更結果を承認するのは、直接修正を正当な依頼に基づいて行い、結果を確かめるための統制です。適切に管理されている状況であり、指摘事項にはあたりません。
- ウ直接修正の作業時以外は，使用する直接修正…：直接修正の作業時以外は特権IDを無効にしておくのは、特権IDが不正に使われる機会を減らすための対策です。望ましい管理の状況であり、報告すべき不備ではありません。
- エ利用部門からのデータ変更依頼票に基づいて…：利用部門のデータ変更依頼票に基づいてシステム部門が直接修正を行うのは、依頼の根拠を残し、依頼する側と作業する側の役割を分けた進め方です。手続として妥当であり、指摘事項ではありません。
この問題の用語
- 特権IDシステムの設定やデータの操作、権限の設定までできる強いIDです。貸出しと返却の管理簿を利用ログと照合すると、不正な使用に気づけます。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- データベースたくさんのデータを決まった形で貯め、探したり書き換えたりできるようにした仕組み。多くの人が同時に使うことを前提にしています。
- 監査人システム監査を行う人。作る側や運用する側から独立した立場を保ち、自分では作らずに規程や記録を見て確かめます。
- システム監査情報システムが安全で正しく使われているかを、担当から独立した立場で点検し報告すること。直すべきところを見つけて伝えます。
- 監査報告書監査の結果と意見、改善の勧告をまとめて伝える文書のことです。原案は相手と意見交換し、事実誤認がないかを確かめます。
- 指摘事項監査で見つかった、直すべき点として報告書に書かれる事柄です。決まりどおりに行われていた行為は、ここには含まれません。
- アプリケーションソフトウェア利用者の目的に直接こたえるソフトウェアで、表計算や会計、業務用の専用ソフトなどがあたります。機器そのものを動かす基本ソフトウェアの上で動きます。
出典：令和2年度 10月 システム監査技術者試験 午前Ⅱ 問9
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問8：3線モデルに関する問題（監査人）
- 令和7年度 秋期 午前Ⅱ 問7：システム監査基準に関する問題（監査報告書）
- 令和7年度 秋期 午前Ⅱ 問2：システム管理基準に関する問題（システム監査）
- 令和6年度 秋期 午前Ⅱ 問7：監査報告書に関する問題（指摘事項）
- 令和4年度 秋期 午前Ⅱ 問21：トランザクションに関する問題（データベース）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）