令和4年度春期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：IT業務処理統制ってどこを見るの？

ITに係る業務処理統制は、特定のアプリケーションの中に組み込まれているチェックのことだよ。たとえば、会計システムや販売管理システムで「この人はこの処理をしてOK」「パスワードで本人確認してから使わせよう」といった仕組みを入れるイメージ。お店でいうと、レジ担当だけがレジを開けられるようにする鍵みたいなものだね。業務内容に合った利用者IDとパスワード認証をアプリケーションに設けることは、業務処理統制に当たるよ。

この問題で問われていること

この問題では、会社全体のルール作りや社員教育のようなIT全般統制と、アプリケーションの中で入力・処理・出力を直接チェックする業務処理統制を見分けられるかがポイントだよ。ざっくり言うと、「会社全体の土台の管理」なのか、「個別システムの中の業務チェック」なのかを切り分けよう。

IT に係る業務処理統制

組織全体の規程や教育ではなく、実際の業務アプリに実装された認証・権限制御機能が業務処理統制です。

アプリに認証・権限制御機能を実装\n-> 業務処理統制

確認ポイント

• 規程策定や教育は IT 全般統制寄りです。
• 個別アプリの認証機能実装が業務処理統制です。
• アプリケーションの利用者 ID / パスワード認証機能を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。会社全体で「鍵の管理ルールを決めましょう」と言っているイメージで、組織全体のルール作りに当たるんだ。今回聞かれているのは、実際の業務アプリの中で処理を正しく制御する仕組みなので、これはITに係る業務処理統制ではなく、全体を支える統制の話だよ。

選択肢イ

これは不正解だよ。会社として「この部屋の鍵は役職や仕事に応じて渡そう」という方針を決めて、みんなに知らせる話だね。方針作りや周知は大事だけど、個別のアプリが処理中にアクセスを制御する仕組みそのものではないので、業務処理統制ではないよ。

選択肢ウ（正解）

これは正解だよ。たとえば窓口システムで、担当者だけが自分のIDとパスワードで入り、担当業務に必要な操作だけできるようにする仕組みだね。業務アプリの中に直接組み込まれて、処理を正しく安全に行わせる仕組みなので、ITに係る業務処理統制に当たるよ。

選択肢エ

これは不正解だよ。全員に「合鍵を大事に扱おうね」と教育するようなもので、意識づけとしては大切だけど、アプリの中で誰が何をできるかを直接チェックする仕組みではないんだ。だから業務処理統制ではないよ。