令和5年度 秋期 情報処理安全確保支援士試験 午前II 問25
マネジメントシステム監査対象別の監査着眼点・指摘事項
データベースの直接修正に関して，監査人が，システム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，特権IDを使用してデータを追加，変更又は削除することをいう。
解答・解説
正解: ア. 更新ログ上は，アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
データベースの直接修正は、通常のアプリケーションが持つ入力チェックやアクセス制御などの統制機能を経由せずに行われるため、データ破壊や不正改ざんのリスクが高くなります。そのため、直接修正の実施には厳格な管理と正確な監査証跡の記録が求められます。
各選択肢の解説
- ア（正解）：更新ログ上で「アプリケーションソフトウェアの機能を経由したデータ更新」として記録されている場合、特権IDによって直接修正が行われたという事実がログから判別できなくなります。これは監査証跡の正確性・追跡性が損なわれている状態（隠蔽や偽装の疑い）であり、監査人がシステム監査報告書で報告すべき重大な指摘事項です。
- イ（誤り）：事前のデータ変更申請の承認、および事後の変更結果の承認を行うことは、正当な理由と手続きに基づいて直接修正が行われていることを担保する適切な内部統制（コントロール）です。
- ウ（誤り）：作業終了時に直接修正用の特権IDを無効にすることは、特権IDの不正利用や使い回しを防ぐための適切なアクセス管理です。
- エ（誤り）：利用部門からの正式な依頼票（証拠）に基づいてシステム部門が修正を実施することは、職務の分離と証跡保持の観点から適切な運用です。