平成28年度秋期 情報処理安全確保支援士 午前Ⅰ 問22

午前I 問22：IT統制は「土台」と「現場のチェック」に分けて考えよう

IT統制は、ざっくり言うと家づくりみたいなものだよ。アクセス管理や変更管理のようにシステム全体を支える“土台”がIT全般統制、入力チェックや承認制御のように業務処理の中でミスや不正を防ぐ“現場ごとのチェック”がIT業務処理統制だと考えよう。

この問題で問われていること

この問題では、IT全般統制とIT業務処理統制の役割を区別できるかがポイントだよ。システム全体を安定して守る仕組みなのか、特定の業務処理の中で正しく処理させる仕組みなのかを見分けよう。

IT and Internal Control

IT support for internal control consists of IT general controls and application controls

general controls\napplication controls

確認ポイント

• どちらか一方だけではありません。
• 基盤統制と処理統制を分けて考える。
• IT 統制の分類を押さえる。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。IT環境は、会社の中だけのIT利用状況に限られないんだ。たとえば、会社の会計システムを外部のクラウドサービスで使っているなら、その外部サービスも関係してくるよね。家の防犯を考えるときに、家の中だけでなく、玄関前や管理会社の仕組みも見るようなイメージだよ。

選択肢イ（正解）

これは正しい説明だよ。ITの統制は、大きく『ITに係る全般統制』と『ITに係る業務処理統制』に分けられるんだ。たとえるなら、全般統制は建物全体の鍵や警備ルール、業務処理統制は窓口で本人確認や金額チェックをする仕組みだよ。どちらもそろって、ITを使った業務が安全に動くようにしているんだ。

選択肢ウ

不正解だよ。ITで統制活動を自動化していても、それだけで『有効』とは言えないんだ。たとえば、店の入口に自動ロックを付けても、暗証番号が全員に知られていたら意味がないよね。ITを使っているかどうかではなく、その仕組みが正しく設計され、ちゃんと動いているかを確認する必要があるよ。

選択肢エ

不正解だよ。ITを使わず手作業で内部統制をしているからといって、すぐに不備とは言えないんだ。たとえば、受付で担当者が名簿を見て入館確認する方法でも、きちんとルールどおり運用されていれば有効な場合があるよ。大事なのはITか手作業かではなく、ミスや不正を防げる仕組みになっているかだよ。