令和6年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：業務処理統制ってどこにある？

ITに係る業務処理統制は、業務を処理するアプリの中に組み込まれているチェックや制御のことだよ。たとえば、入口で社員証を見せないと入れない建物みたいに、利用者IDとパスワードで本人確認する機能は代表的な業務処理統制なんだ。

この問題で問われていること

この問題では、会社全体のルール作りや社員教育のような“全社的な取組み”と、システムの中で業務処理を正しく安全に動かすための“業務処理統制”を区別しよう。

IT 業務処理統制

システムに組み込まれた入力・処理・出力・認証の統制が業務処理統制に当たる。

アプリ内統制\n例: 利用者認証機能

確認ポイント

• 規程整備や周知は全社的統制寄りです。
• 教育は人的統制であり業務処理統制そのものではありません。
• 利用者認証機能を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。アクセス管理規程を決めるのは、会社全体のルールブックを作るようなもの。「合鍵は誰に渡すか」「退職した人の鍵は回収するか」を決めるイメージだね。これは複数のシステムに共通する土台の管理なので、個別アプリの業務処理に組み込まれた統制ではなく、IT全般統制に近い考え方だよ。

選択肢イ

これは不正解だよ。アクセス権限の設定方針を決めて周知するのは、「倉庫に入れる人は責任者だけ」みたいな会社全体の方針を決めて知らせること。もちろん必要だけど、実際にシステム内でログイン確認や操作制限を行う機能そのものではないんだ。だから、業務処理統制ではなく、全般的な管理方針の話だよ。

選択肢ウ（正解）

これは正解だよ。業務処理統制は、実際のアプリの中で「この人は本当に使ってよい人かな？」と確認する仕組みのこと。お店のレジで、店員証を見せた人だけ操作できるようにする感じだね。利用者IDとパスワードで本人確認する機能は、アプリの業務処理に直接組み込まれたアクセス管理なので、ITに係る業務処理統制に当たるよ。

選択肢エ

これは不正解だよ。教育は大事だけど、アプリの中で直接アクセスを止めたり許可したりする仕組みではないんだ。たとえるなら「鍵を大切にしましょう」と全員に説明すること。大切なルール作りではあるけれど、ドアに鍵そのものを付ける話ではないので、業務処理統制ではなく、全体的な管理・教育の話だよ。