情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問37: スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。

問題本文

スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。

選択肢

• ア.スプレッドシートに組み込まれたロジックの正確性を，検算によって確認していた。
• イ.スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。
• ウ.スプレッドシートにパスワードを付した上で，アクセスコントロールが施されたサーバに保管していた。
• エ.スプレッドシートを所定のルールに従ってバックアップしていた。

正解

イ. スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。

解説

監査における指摘事項とは，コントロール（統制）上の不備や問題がある行為を指す。スプレッドシートのロジックを承認や変更管理の手続を経ずに随時変更し上書き保存する行為は，変更の正当性や正確性が担保されずデータの信頼性を損なうため，指摘事項に該当するイが正解である。

選択肢ごとの解説

• ア.ロジックの正確性を検算で確認するのは適切な統制行為であり，指摘事項ではない。
• イ.正しい。承認や変更管理を経ずにロジックを随時変更・上書きする行為は統制上の不備であり，指摘事項に該当する。
• ウ.パスワード設定とアクセス制御されたサーバでの保管は適切な統制であり，指摘事項ではない。
• エ.所定のルールに従ったバックアップは適切な運用であり，指摘事項ではない。