システム監査技術者試験 令和2年度 秋期 午前II 問9

【正解】ア

データベースの直接修正は、アプリケーションに組み込まれた入力チェック、承認、処理履歴などの統制を通らないため、例外的かつ高リスクな作業です。そのため、誰が、いつ、どの申請と承認に基づき、どのデータをどう変更したかを、通常処理と区別できる真正なログとして残す必要があります。直接修正のログを正常なアプリケーション処理に見せかける行為は、変更経路を隠し、追跡可能性とログの証拠性を失わせます。不正や誤操作の発見も困難になるため、アは監査報告書で指摘すべき重大な不備です。

イの「事前申請の承認と事後結果の承認」は誤りです。これは無断変更を防ぎ、依頼どおりに変更されたことを別の時点で確認する予防的・発見的な統制であり、直接修正を管理する適切な手続です。

ウの「作業時以外は特権IDを無効にする」は誤りです。これは強い権限を利用できる時間を必要最小限に限定し、不正使用や誤使用の機会を減らす特権ID管理です。

エの「利用部門の変更依頼票に基づきシステム部門が実施する」は誤りです。変更の必要性を判断する利用部門と、技術的な作業を行うシステム部門を分け、正式な依頼票を根拠に実施する職務分掌と証跡確保の仕組みです。

【ポイント】 直接修正では、申請・事前承認、作業者の限定、特権IDの一時有効化、作業ログ、事後確認を一連で確認します。 ログは単に存在すればよいのではなく、直接修正の事実を正確に識別でき、改ざんから保護されている必要があります。