平成25年度春期 データベーススペシャリスト 午前Ⅰ 問22

統制が働く時点と目的を整理する

内部統制の各手続が、望ましくない事象に対してどの段階で作用し、何を達成しようとしているのかを自分の言葉で整理することが、統制の種類を区別する際の基本的な検討手順になります。

この問題で問われていること

特権IDの管理では、付与から廃止までの複数の局面で手続が設けられます。それぞれの手続が事象の発生との関係でいつ働くのかという一つの観点に絞って、問題に示された各手続を落ち着いて検討してください。

視点

内部統制の手続は、目的や作用する時点によっていくつかの種類に分けて整理されます。学習の際は、分類名を暗記するより、ある手続が不正や誤りに対して『どの時点で』『何をもたらすか』を自分で問い直す習慣が有効です。特権IDは影響範囲が大きい管理対象です。同じ管理対象でも、手続ごとに担う役割が異なる点を意識して整理してください。

確認ポイント

• 各手続が対象とする望ましくない事象を特定し、その事象の発生前後のどの時点で手続が働くかを確認する
• その手続を実施した結果として何が得られ、組織にとって何が可能になるのかを自分の言葉で説明できるか確かめる
• 用語の印象や言葉の響きではなく、手続が働く時点と目的の組合せに基づいて判断しているかを見直す

正解

ア

解説

特権IDの貸出し・返却の管理簿と特権IDのログを照合すると、正規の貸出しと実際の使用記録の食い違いから、既に起きた不正使用を見つけ出せるよ。これが発見的コントロールで、正答はアだね。

理由

管理簿には、誰がいつ特権IDを借りて返したかという正規の利用実績が残るよ。一方、特権IDのログには、実際にいつ、どんな操作に使われたかが記録されるね。この二つを突き合わせれば、貸出記録のない時間帯の使用や、許可されていない操作などの食い違いが見つかるよ。既に起きた不正使用を事後に検知するので、発見的コントロールに当たるんだ。

比較

イの一般利用者IDの使い分け、ウの都度貸出し、エの権限の細分化は、どれも特権IDの不正使用を起こりにくくしたり、影響範囲を小さくしたりする予防的コントロールだよ。大切な対策だけど、不正使用が実際に起きたかどうかを見つけ出す機能は持っていないから、設問の「発見する」コントロールには当たらないね。

選択肢ア（正解）

これは正解だよ。管理簿には誰がいつ特権IDを借りて返したかという正規の利用実績が記録され、ログには実際の特権IDの使用記録が残るよ。両者を照合すれば、貸出記録がない時間帯の使用や、借りた人以外による操作など、既に起きた不正使用を事後に見つけ出せるので、発見的コントロールに当たるんだ。

選択肢イ

これは不正解だよ。特権IDの使用を許可された者でも通常の操作では一般利用者IDを使う運用は、特権IDを使う機会自体を減らして、誤操作や不正の発生を抑える予防的コントロールだよ。この運用だけでは、実際に不正使用が起きたかどうかを見つけ出す仕組みにはならないんだ。

選択肢ウ

これは不正解だよ。使用の都度、特権IDの貸出しを受ける手続は、承認のない特権IDの使用を事前に防ぐ予防的コントロールだよ。貸出記録は照合の材料にはなるけれど、貸出しを受けること自体は不正使用を発見する行為ではなく、ログとの照合があって初めて発見につながるんだ。

選択肢エ

これは不正解だよ。特権IDの設定内容や使用範囲を用途に応じて細分化するのは、一つのIDに与える権限を必要最小限にして、不正使用が起きた場合の影響範囲を限定する予防的コントロールだよ。不正使用があったかどうかを検知する仕組みではないので、設問の「発見する」コントロールには当たらないんだ。

学習のポイント

予防的コントロールと発見的コントロールの違いを、特権ID管理の具体的な手続に当てはめて判別できるようにすること。