情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問37: スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。

正解

イ. スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。

正答率 76.7%（103人中 79人が正解）

問題の解説

監査における指摘事項とは，コントロール（統制）上の不備や問題がある行為を指す。スプレッドシートのロジックを承認や変更管理の手続を経ずに随時変更し上書き保存する行為は，変更の正当性や正確性が担保されずデータの信頼性を損なうため，指摘事項に該当するイが正解である。

選択肢ごとの解説

• アロジックの正確性を検算で確認するのは適切な統制行為であり，指摘事項ではない。
• イ正しい。承認や変更管理を経ずにロジックを随時変更・上書きする行為は統制上の不備であり，指摘事項に該当する。
• ウパスワード設定とアクセス制御されたサーバでの保管は適切な統制であり，指摘事項ではない。
• エ所定のルールに従ったバックアップは適切な運用であり，指摘事項ではない。