情報処理安全確保支援士試験 令和6年度 秋期 午前II 問25

【正解】ウ

ITに係る業務処理統制とは、個々の業務処理が正確、完全かつ正当に実施されるよう、業務プロセスやアプリケーションに組み込まれる統制です。アプリケーションシステムに利用者IDとパスワードによる認証機能を設ければ、許可された利用者だけがそのシステムを利用し、取引の入力や承認などを行えるように制限できます。特定の業務システム内で自動的に働く統制なので、ウが正解です。

アの「組織としてアクセス管理規程を定める」は誤りです。これは個々の業務処理を直接検証する統制ではなく、組織全体でアクセス管理を適切に運用するための基盤となるITに係る全般統制です。

イの「アクセス権限の設定方針を定め、周知する」は誤りです。これも各アプリケーションの取引処理に直接組み込まれた機能ではなく、アクセス権限の付与、変更、削除を統一的に管理するためのITに係る全般統制です。

エの「全ての利用者に教育を行う」は誤りです。教育は利用者のセキュリティ意識や規程遵守を高める組織的な統制であり、特定の業務データの入力、処理、出力を制御するITに係る業務処理統制ではありません。

【ポイント】 ITに係る業務処理統制は、入力チェック、処理の正当性確認、出力の照合、アプリケーション上の認証など、個別業務に組み込まれます。 規程、権限管理方針、運用手続、教育など、複数のシステムに共通する管理基盤はITに係る全般統制として整理します。