システム監査技術者 2020年午前2 問09

問題文

データベースの直接修正に関して、監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、特権IDを使用してデータを追加、変更又は削除することをいう。

🖊️ 解答を隠して解いてみる

ア：更新ログを加工して、アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。（正解）

イ：事前のデータ変更申請の承認、及び事後のデータ変更結果の承認を行っていた。

ウ：直接修正の作業時以外は、使用する直接修正用の特権IDを無効にしていた。

エ：利用部門からのデータ変更依頼票に基づいて、システム部門が直接修正を実施していた。

🔒 解説は解答すると表示されます

正しい指摘事項はアです。

アプリケーションソフトウェアを経由せず、特権IDでデータを直接修正する場合、通常の処理記録とは別に、誰が・いつ・何を変更したかを追跡できるログが重要です。

アでは、更新ログを加工し、直接修正をアプリケーション経由の正常な処理に見せかけています。これは監査証跡を偽装し、直接修正の事実や実施内容を確認できなくする行為です。監査人がシステム監査報告書で指摘すべき問題です。

ア：更新ログを加工して、直接修正を通常のアプリケーション処理に見せかけています。監査証跡の信頼性を損なうため、指摘事項です。
イ：変更前の申請承認と変更後の結果承認を行っています。直接修正に対する承認・確認の統制として適切です。
ウ：直接修正を行わないときは、使用する特権IDを無効にしています。特権IDの不正利用リスクを抑える管理策です。
エ：利用部門からの変更依頼票に基づき、システム部門が修正しています。依頼に基づいて実施する手順自体は適切な管理策になり得ます。実施者や承認者の分離、作業記録なども確認する必要はありますが、この選択肢だけでは不適切な行為とは判断できません。

直接修正では、アプリケーションが通常行う入力チェックや業務ルールの適用を通らないことがあります。そのため、誤った値の登録やデータ間の不整合が起きるおそれがあります。

直接修正を許可する場合は、たとえば、申請・承認、作業者の限定、変更前後のデータ保存、作業ログの保護、作業後の結果確認といった対策を組み合わせます。特にログは、修正作業者が容易に変更できないようにすることが重要です。

Q. 直接修正を行うこと自体が監査上の不備ですか？
A. 必ずしもそうではありません。必要性があり、承認や作業記録、事後確認などの統制が整っているかがポイントです。

Q. なぜログの加工が特に問題なのですか？
A. 直接修正の実態を隠し、監査人や管理者が変更の経緯を正しく確認できなくなるためです。ログの改ざんは、データ変更そのものだけでなく、監査証跡の信頼性も損ないます。

関連キーワード: データベース直接修正、特権ID、監査証跡、更新ログ、変更管理、職務分掌

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！