平成21年度春期 システム監査技術者 午後Ⅰ 問1

問1　ERPパッケージの監査に関する次の記述を読んで，設問1～4に答えよ。 Z社は，日用品の卸売業者であり，財務管理，購買管理，会計などの業務システムをERPパッケージで再構築した。 【ERPパッケージの概要】 Z社が導入したERPパッケージ及び周辺システムの構成は，図のとおりである。 図 ERPパッケージ及び周辺システムの構成 (1) OS及びDBには，汎用の製品が採用されている。DBへのアクセスは，初期インストールのときを除いて，DB用IDを使用しなくてもよいようになっている。 (2) 財務管理，購買管理，会計などの業務システムは，ミドルウェアを経由して，マスタファイル及びトランザクションファイルを共有している。利用者は，ユーザIDを使用して業務システムにアクセスする。 (3) ミドルウェアの主な役割は，業務システムが基盤のアーキテクチャに依存しないで処理できるようにすることである。また，業務システムの安定運用を支援するための機能やセキュリティのレベルを設定する機能として，例えば，次のような機能が搭載されている。 ・パスワードの最少けた数の設定機能 ・多重ログイン（同一ユーザIDによる同時・複数のログイン）禁止の設定機能 ・業務システムへのアクセス，ログインの失敗，マスタデータの変更などにおけるログ採取の設定機能 (4) ERPパッケージの管理者用の機能を使用するためには，専用の管理者用ID（以下，管理者用IDという）が必要である。管理者用IDは，情報システム部のシステム管理担当者（以下，担当者という）3名だけが使用を許可されている。管理者用IDは，1ライセンス（1ユーザ）の契約で使用している。同時に1ユーザしか使用できないので，3名の担当者は，パスワードを共有している。パスワードは，暗号化してファイルサーバのフォルダに保存されている。そのフォルダには担当者以外はアクセスできないように制限されている。 (5) ERPパッケージのDBには，各種設定ファイルのほかに，商品マスタや取引先マスタなどのマスタファイルと，仕入実績などのトランザクションファイルがある。 〔周辺システムとの連携〕 販売管理システムは，ERPパッケージとは別に構築・運用されている。ERPパッケージは，販売管理システムから日次で売上実績データを受け取る。受け取った売上実績データは，会計システムに自動連携され，店舗別，商品分類別に集計される。 人事システムは，ERPパッケージとは別のシステムであり，人事システムからERPパッケージに，異動データが送られる。異動データには，所属部署及び役職の情報が含まれており，所属部署と役職に応じた利用権限が，ユーザIDに自動的に設定される。ただし，この権限については，異動データで自動削除されないようになっている。その理由は，人事異動などに伴う業務引継期間中に元の部署の権限が使用できなくなると，業務に支障を来すからである。業務の引継ぎが完了したら，異動者は元の部署の権限を削除してもらうための申請を速やかに提出し，担当者が申請に従って管理者用画面で削除する。 管理者用画面で権限が付与された場合には，ミドルウェアの機能によってログが採取される。 〔システム監査の実施〕 監査部では，Z社のビジネスの中核を担うERPパッケージを対象としたシステム監査を，毎年実施している。既に，業務面や機能面の監査は実施しているので，今年度は，アクセス管理及びバックアップリカバリの適切性を確認するシステム監査を実施することになった。担当するのは，監査部のT氏である。 (1) アクセス管理の状況 T氏は，アクセス管理に関するリスク及びコントロールを表1のようにまとめた。 表1 アクセス管理に関するリスク及びコントロール（抜粋） (2) バックアップリカバリの状況 ERPパッケージには標準で，データのバックアップのスケジュール管理機能が備わっている。担当者は，管理者用画面を使用して，バックアップの実行スケジュール，バックアップデータの記録装置，バックアップの種類（全件か差分か）などを設定する。T氏は，アクセス管理と同様に，バックアップリカバリについても，リスク及びコントロールを抽出して表2のようにまとめた。 項番①のコントロールについて，管理者用画面を確認し，バックアップデータが日次で取得されていることを確かめた。また，取得されたバックアップデータはすべて外部の保管業者に週次で送付し，保管していることを確認した。さらに，バックアップ媒体が読取り可能かどうかを定期的に確認していることを確かめた。 項番②のコントロールについて，障害発生時のリカバリ手順及びリカバリ訓練の実施記録を閲覧し，問題がないことを確認した。しかし，災害発生時のリカバリについては手順書が作成されていないので，ERPパッケージのDBのバックアップが取得されていてもリカバリできないリスクがあると考えた。そこで，コントロール項目を追加して，更に詳しい調査を行うことにした。 表2 バックアップリカバリに関するリスク及びコントロール（抜粋） 設問1　〔ERPパッケージの概要〕の(4)について，管理者用IDのライセンス契約に違反していないことを確認するための監査手続を，45字以内で述べよ。 設問2　表1中の項番①のコントロールが有効でも，リスクが十分に軽減されているとは言えない。T氏が本調査で更に確認すべきコントロールを，40字以内で述べよ。 設問3　表1中の［a］に入れるリスクを，40字以内で述べよ。また，異動者の申請による削除よりも確実にリスクを低減できるコントロールを，45字以内で述べよ。 設問4　表2中の項番②について，災害が発生したときのリスクに対して追加すべきコントロールを，45字以内で述べよ。