平成24年度 秋期 午前 問57

✓ これが正解イバージョン管理システムのアクセスコントロールの設定が適切であること

解説

機密性はアクセスコントロールの設定で確かめます。

監査で何を確かめるべきかは、守りたいものが何かによって変わります。軸は一つで、その確認項目が、権限のない人に中身が渡らない状態を支えているかどうかを見ます。機密性はまさにその状態を指す言葉です。ソースコードを一つの仕組みへ集めて管理するようになると、そこに保管された中身へ誰が到達できるかが、そのまま守りの強さになります。ですから、誰にどこまで許すかという取り決めが正しく設定されているかを見ることが、この観点の確認項目になります。他の項目は、変更が正しく行われたことを裏づけるもの、費用の妥当性を測るもの、選定の手続を問うもので、どれも意味のある確認ではありますが、中身が漏れないようにする働きには直接つながりません。

ほかの選択肢はなぜ違うのか

• アバージョン管理システムに登録した変更結果…：登録された変更の中身を責任者が認めているかを見る項目です。手を入れた結果が正しく保たれているかを支える確認であり、到達できる相手を絞る働きとは別です。
• ウバージョン管理システムの導入コストが適正…：導入に要した費用が見合った水準かどうかを測る項目です。お金の使い方の妥当性を問うものであり、保管された中身が外へ出ないようにすることとは結び付きません。
• エバージョン管理システムを開発部門が選定し…：誰が選んだのかという手続を問う項目にとどまります。選定した部門がどこであっても、そこへ到達できる相手の範囲が定まるわけではありません。