情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度春期 午前Ⅱ 問25: データベースの直接修正に関して，監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションの機能を経由せずに，特権 ID を

正解

ア. 更新ログを加工して，アプリケーションの機能を経由した正常な処理によるログとして残していた。

正答率 0.0%（1人中 0人が正解）

問題の解説

監査人が指摘すべきは、統制を逸脱しリスクや不正の隠蔽につながる事象である。更新ログを加工して直接修正を正常処理によるログのように偽装する行為は、証跡の改ざんで追跡を不能にし、最も重大な問題のため指摘事項に該当する。よって正解はア。他の選択肢は申請承認・特権ID無効化・依頼票に基づく実施など、むしろ適切な統制である。

選択肢ごとの解説

• ア更新ログを加工し正常処理のログに偽装する証跡改ざんで、追跡を妨げる重大な問題のため指摘事項で正解。
• イ事前申請の承認と事後結果の承認を行うのは適切な統制で、指摘すべき問題には当たらない。
• ウ作業時以外は直接修正用の特権IDを無効化するのは望ましい管理で、指摘事項ではない。
• エ依頼票に基づきシステム部門が修正を行うのは手続を踏んだ運用で、指摘すべき事項ではない。