平成21年度春期 情報処理安全確保支援士 午前Ⅱ 問22

「辞めた人のアカウント」が消し忘れて放置されていないか、全員分照合して確かめる

退職した人のIDがシステムに残ったままになっていないか（消し忘れがないか）を監査する方法。退職届や申請書だけをチェックするのではなく、会社の「公式な退職者リスト（人事発令簿）」の全員分の名前と、現在のシステムのアカウントリストを突き合わせて、本当に消えているかを全件調査するのが最も確実だよ。

この問題で問われていること

「申請書が出たものだけ」を調べるのでは、そもそも申請を出し忘れたIDを見落としてしまう。人事側の「辞めた人の確定リスト」という大元の正しいデータを基準に照合する、という監査の基本を押さえよう。

権限削除の監査手続

内部統制の確認では、退職者が漏れなく削除されているかを確かめる必要があります。人事発令簿を基準に利用者 ID リストへ照合すると、削除漏れを見つけやすいです。

人事発令簿の退職者全件\n-> 利用者 ID リストを確認\n-> 削除漏れを検出

確認ポイント

• 削除申請書だけでは、申請漏れを見落としやすいです。
• 最新 ID リストから逆向きに見る方法だけでは、退職者の漏れを確認しにくいです。
• 人事発令簿の退職者全件を起点に確認します。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。削除申請書に載っている人がIDリストから消えているかを見るので、「申請された分がちゃんと処理されたか」は確認できる。でも、そもそも削除申請書が出ていない退職者は見つけられないんだ。合鍵返却届が出た人だけ確認しても、届を出していない人の合鍵は見逃す、という感じだよ。

選択肢イ

これは不正解だよ。最新の利用者IDリストに載っている人について、削除申請書がないことを確認しても、退職者のIDが残っていないかは直接分からないんだ。今お店に入れる人の名簿を見て「退店届がないね」と確認しているだけで、本当にもう辞めた人が混ざっていないかは、人事の退職者リストと比べないと分からないよ。

選択肢ウ

これが正解だよ。退職者の全件を出発点にして、利用者IDリストから消えているかを確認するので、退職した人のID削除漏れを一番確実に見つけられるんだ。たとえるなら、退職者リストを見ながら「この人の合鍵、ちゃんと回収済み？」と一人ずつ確認する方法だよ。

選択肢エ（正解）

これは不正解だよ。利用者IDリストの更新履歴と削除申請書を比べると、「申請に基づかない削除がなかったか」や「削除処理に証拠があるか」は見られる。でも、退職したのに削除申請も更新もされていない人は発見できないんだ。合鍵の返却記録だけ見ても、返却手続き自体が忘れられた合鍵は見つからない、ということだよ。