令和5年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25

直接修正でいちばん怖いのは、「誰が・どうやって直したか」の記録が実際の作業とズレてしまうことだよ。たとえば、お店のレジを裏口から操作したのに、記録上は正面レジで処理したように見えていたら、あとで何が起きたか追えなくなるよね。承認があるか、特権IDを止めたか、依頼に基づいて作業したかも大事だけど、ログが実際の更新経路と合っていないのは監査証跡そのものを信用できなくする重大な統制不備なんだ。

この問題で問われていること

この問題では、直接修正の統制で特に大切な「監査証跡の信頼性」を見抜けるかが問われているよ。つまり、ログがあとから確認できる形で正しく残っていて、本当に行われた作業を追跡できる状態かどうかに注目しよう。

直接修正の監査上の論点

監査証跡は実態を正しく表していなければならず、経路を偽るログは重大な問題です。

実際: 特権 ID で直接修正\nログ: アプリ経由更新\n-> 追跡不能

確認ポイント

• 事前・事後承認や特権 ID 無効化は統制として妥当です。
• 依頼に基づくシステム部門実施自体は直ちに不備とはいえない。
• 更新ログが実態と一致しない点を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。直接修正したのに、ログを加工して『普通のアプリ操作で直しました』と見せかけるのは、裏口から入ったのに受付を通ったように記録を書き換えるようなもの。誰が何をしたのか追跡できなくなるので、監査で指摘すべき重大な問題だよ。

選択肢イ

これは不正解だよ。事前に変更申請を承認し、作業後にも結果を承認しているのは、合鍵を使う前に許可を取り、使った後に何をしたか確認してもらうようなもの。手順としてきちんと管理されているので、問題行為ではないよ。

選択肢ウ

これは不正解だよ。直接修正用の特権IDを作業が終わったら無効にするのは、作業中だけ合鍵を貸して、終わったら返して使えなくするようなもの。勝手に使われるリスクを減らす良い管理なので、指摘事項にはならないよ。

選択肢エ

これは不正解だよ。利用部門からの依頼票に基づいてシステム部門が直接修正するのは、たとえるなら『お店の正式な注文票を見て、店員さんが在庫を直す』ようなもの。勝手にこっそり変更しているわけではなく、依頼の根拠があるので、監査で指摘すべき問題とは言いにくいよ。