情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和4年度春期 午前Ⅱ 問25: 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”におけるアクセス管理に関して，内部統制のうちのITに係る業務処理統制に該当するものはど

正解

ウ. 組織内のアプリケーションシステムに，業務内容に応じた権限を付与した利用者IDとパスワードによって認証する機能を設ける。

正答率 100.0%（1人中 1人が正解）

問題の解説

IT統制のうち業務処理統制とは、個々の業務システムが正確・網羅的に処理されるよう組み込まれた統制で、入力・処理・出力の妥当性確保が対象。アプリケーションに業務権限に応じた利用者ID・パスワード認証機能を組み込むことは、各システム固有の統制であり業務処理統制に該当する。よってウが正解。組織横断の規程・方針・教育は全般統制に分類される点と区別したい。

選択肢ごとの解説

• ア組織として統一的なアクセス管理規程を定めることは全社的・基盤的なIT全般統制であり、業務処理統制ではないため誤り。
• イ組織全体の権限設定方針を定め周知することはIT全般統制に当たり、個別システムの業務処理統制ではないため誤り。
• ウ業務内容に応じた権限を付与した認証機能を各アプリに組み込む統制は業務処理統制に該当し、これが正解。
• エ全利用者へのアクセス管理教育は組織的な基盤対策でIT全般統制に当たり、業務処理統制ではないため誤り。