平成30年度春期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：ログを“あとから都合よく見せた”のが問題だよ

この問題で一番まずいのは、事前承認があったかどうかや、特権IDを無効化したかどうかよりも、直接修正した痕跡を隠すために更新ログを加工して、まるで通常のアプリ処理で記録されたログのように見せかけていた点だよ。たとえるなら、手作業で帳簿を書き換えたのに、レジを通した売上記録みたいに見せるようなもの。これは監査でしっかり指摘される内容だよ。

この問題で問われていること

見るべきポイントは、統制が実施されていたかどうかだけじゃなくて、証跡であるログを改ざんしていないかどうかだよ。監査では“何をしたか”だけでなく、“その記録が正しく残っているか”がとても大事だと押さえよう。

Audit Finding on Direct DB Modification

the audit issue is that direct database modifications were disguised by altering logs to look like normal application processing

direct modification performed\nlogs altered\nmade to look like normal processing\ntraceability lost

確認ポイント

• 証跡改ざんを最重要で見る。
• 承認実施の有無より重い問題。
• 通常処理装いが監査指摘になる。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。更新ログを加工して、まるで通常のアプリ画面から正しく処理されたように見せかけているのは、記録の改ざんに当たる重大な問題だよ。たとえるなら、裏口から入ったのに受付簿には「正面玄関から入った」と書き換えるようなもの。後から誰が何をしたか追えなくなるので、監査報告書で指摘すべきだよ。

選択肢イ

不正解だよ。事前に「このデータを直していいですか？」と許可を取り、作業後にも「ちゃんと直りました」と確認してもらっているので、これは管理として自然だよ。お店で返品処理をするときに、店長の許可と処理後の確認があるようなものだね。監査で問題として報告する内容ではないよ。

選択肢ウ

不正解だよ。直接修正用の特権IDを、作業するとき以外は無効にしているのはよい管理だよ。合鍵を普段は金庫にしまっておき、必要なときだけ出すようなものだね。不正利用のリスクを下げているので、指摘事項にはなりにくいよ。

選択肢エ

不正解だよ。利用部門からの正式な依頼票に基づいて、システム部門が直接修正しているなら、依頼の根拠が残っている状態だよ。窓口に申請書を出して、担当者が処理するイメージだね。もちろん承認や記録も必要だけど、この文だけなら不正や問題とはいえないよ。