アクセス管理とは？

アクセス管理の意味

利用者の識別・認証と、職務に応じた権限付与、権限の変更・削除、定期的な棚卸を通じて、情報資産へのアクセスを適切に制御する管理活動。最小権限の原則とNeed to knowが基本となる。

アクセス管理の具体例

異動・退職の都度アクセス権を見直し、半期ごとに権限一覧を所属長が承認する棚卸を実施する。

アクセス管理は試験でどう引っ掛けられる？

付与の手続だけでなく、削除（退職者・異動者の権限剥奪）の運用が監査で最も問題になりやすい。

アクセス管理と関連する用語

• 最小権限の原則
• 特権ID管理
• IT全般統制

アクセス管理が出た過去問

• 金融庁の“財務報告に係る内部統制の評価及び監査の基準”におけるIT業務処理統制に該当するものはどれか。

  正解：利用部門によるエラーデータの修正と再処理

  要点：IT業務処理統制は個々の業務処理に組み込まれた統制を指す

  IT統制はIT全般統制とIT業務処理統制に分かれる。IT全般統制はシステムの開発・保守、運用管理、アクセス管理、外部委託管理など、業務処理統制が有効に機能する環境を支える統制である。これに対しIT業務処理統制は個々の業務処理の中に組み込まれた統制で、入力データの正確性確保やエラーデータの修正・再処理などが該当する。

  出典：平成28年度 春期 システム監査技術者試験 am2 問9（IPA）

• 固定資産管理システムに係るIT全般統制はどれか。

  正解：会計基準や法人税法などの改正を調査した上で,システムの変更要件を定義し,承認を得る。

  要点：IT全般統制は開発・変更・運用など業務処理統制の土台となる統制

  IT全般統制は、業務処理統制が有効に働くための土台となる統制で、システムの開発・変更管理、運用管理、アクセス管理、外部委託管理などが該当する。法改正を受けてシステムの変更要件を定義し承認を得る行為は変更管理の一環であり、IT全般統制に位置付けられる。個々の入力値の妥当性確認や照合作業は業務処理側の統制である。

  出典：平成29年度 春期 システム監査技術者試験 am2 問9（IPA）

• 固定資産管理システムに係るIT全般統制として,最も適切なものはどれか。

  正解：会計基準や法人税法などの改正を調査した上で,システムの変更要件を定義し,承認を得る。

  要点：IT全般統制は開発・変更管理など業務処理統制の土台を成す

  IT全般統制は、業務処理統制が有効に機能するための土台となる統制で、開発・変更管理、運用管理、アクセス管理、外部委託管理などが該当する。法改正を踏まえてシステムの変更要件を定義し承認を得る行為は変更管理そのものであり、IT全般統制に位置付けられる。個々の入力値の突合や実地照合は業務レベルの統制である。

  出典：令和1年度 春期 システム監査技術者試験 am2 問7（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”に基づいた、“ITに係る全般統制”のうちの“システムの運用・管理”に関する監査上の留意…

  正解：障害や故障等によるデータ消失等に備えて、データを保存し、復旧するための対策が取られていること

  要点：運用・管理の代表例はバックアップと復旧など日々の安定稼働の統制

  IT全般統制は、開発・保守の管理、運用・管理、内外からのアクセス管理などの安全性確保、外部委託の管理といった領域に分けられる。このうち運用・管理は、システムを日々安定して動かすための統制で、障害や故障によるデータ消失に備えたバックアップと復旧の対策が代表例である。開発手法の適用や移行時の統制は開発・保守の領域、アクセス管理方針は安全性確保の領域に属する。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問9（IPA）

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”に基づき、今年度改修した“自動化されたITに係る業務処理統制（ITAC）”の整備状況が…

  正解：ITに係る全般統制が有効である。

  要点：IT全般統制が有効なら自動化統制は反復性が担保され評価を簡素化できる

  自動化された業務処理統制は、プログラムが変更されない限り同じ処理を繰り返すため、一度有効性を確かめれば結果が安定する。ただしこの前提が成り立つのは、プログラム変更管理やアクセス管理といったIT全般統制が有効に機能し、無断の変更が起きないことが担保されている場合に限られる。したがって全般統制が有効であることが、評価作業を簡素化できる条件となる。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問10（IPA）