情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度秋期 午前Ⅱ 問25: データベースの直接修正に関して，監査人が，システム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，

正解

ア. 更新ログ上は，アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。

正答率 75.0%（4人中 3人が正解）

問題の解説

特権IDによるDB直接修正は、アプリの機能を経由しない例外的操作であり、申請承認や事後確認、痕跡の正確な記録が統制上重要。更新ログ上で直接修正を「アプリ経由の更新」と偽って記録していたのは、監査証跡の改ざん・隠蔽にあたり指摘すべき重大事項。よってアが正解。実務では直接修正の事実を正しく記録・追跡できることが内部統制の前提となる。

選択肢ごとの解説

• ア直接修正をアプリ経由更新と偽って記録しており、監査証跡を歪める指摘すべき事項。
• イ事前承認と事後確認を行っており、適切な統制が機能しているため指摘事項ではない。
• ウ作業終了時に特権IDを無効化しており、適切な運用で指摘事項ではない。
• エ依頼票に基づき実施しており、根拠ある手続として問題ない。