令和5年度秋期情報処理安全確保支援士試験午前II 問25

この問題は2023(R5)秋情報処理安全確保支援士午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

データベースの直接修正に関して，監査人が，システム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，特権IDを使用してデータを追加，変更又は削除することをいう。

ア. 更新ログ上は，アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。

イ. 事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。

ウ. 直接修正の作業終了時には，直接修正用の特権IDを無効にしていた。

エ. 利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。

解答・解説を読む

正解: 選択肢ア

データベースの直接修正は、通常のアプリケーションが持つ入力チェックやアクセス制御などの統制機能を経由せずに行われるため、データ破壊や不正改ざんのリスクが高くなります。そのため、直接修正の実施には厳格な管理と正確な監査証跡の記録が求められます。

ア（正解）：更新ログ上で「アプリケーションソフトウェアの機能を経由したデータ更新」として記録されている場合、特権IDによって直接修正が行われたという事実がログから判別できなくなります。これは監査証跡の正確性・追跡性が損なわれている状態（隠蔽や偽装の疑い）であり、監査人がシステム監査報告書で報告すべき重大な指摘事項です。
イ（誤り）：事前のデータ変更申請の承認、および事後の変更結果の承認を行うことは、正当な理由と手続きに基づいて直接修正が行われていることを担保する適切な内部統制（コントロール）です。
ウ（誤り）：作業終了時に直接修正用の特権IDを無効にすることは、特権IDの不正利用や使い回しを防ぐための適切なアクセス管理です。
エ（誤り）：利用部門からの正式な依頼票（証拠）に基づいてシステム部門が修正を実施することは、職務の分離と証跡保持の観点から適切な運用です。