予防的統制・発見的統制とは？

予防的統制・発見的統制の意味

統制を働くタイミングで分けた考え方。問題が起きること自体を未然に防ぐものが予防的統制、起きてしまった事象を後から見つけ出すものが発見的統制である。すべてを未然に防ぐことはできないため、両者を組み合わせて、防ぎ切れなかったものを早く見つける構えを作る。

予防的統制・発見的統制の具体例

人事データを閲覧できる社員をあらかじめ限定し、権限のない社員には開けないよう設定するのが予防側にあたる。それでも権限を持つ者が悪用する場合に備え、アクセス記録を毎月点検し、深夜や休日など通常と違う時間帯の閲覧を洗い出すのが発見側になる。

予防的統制・発見的統制は試験でどう引っ掛けられる？

記録を取ること自体は事象を防がないため、発見側に分類される。一方で「記録が点検されている」と周知することは不正の抑止にもつながり、目的によって位置付けが変わる点に注意する。

予防的統制・発見的統制と関連する用語

• 内部統制
• 監査ログ
• 多層防御

予防的統制・発見的統制が出た過去問

• 利用部門がスプレッドシートを利用した際に，財務データの正確性を損なう誤謬が発生した場合において，当該部門がこれを発見するために有効な統制はどれか。

  正解：スプレッドシートに入力したデータと入力原票の照合作業を行う手続

  要点：入力誤りの発見には入力データと原票の照合が有効

  入力の誤りによる誤謬を利用部門自身が見つけるには、入力した結果を元の証憑と突き合わせるのが直接的で有効である。入力原票との照合は、値の取り違えや入力漏れをその場で検出できる発見的統制に当たる。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）

• 特権ID（システムの設定、データの操作、それらの権限の設定が可能なID）の不正使用を発見するコントロールとして、最も有効なものはどれか。

  正解：特権IDの貸出し及び返却の管理簿と、特権IDの利用ログを照合する。

  要点：発見的統制の要は貸出記録と実利用ログの突合

  「発見するコントロール」を問うている点が要点である。貸出し・返却の記録と実際の利用ログを突き合わせれば、許可されていない時間帯や人物による特権IDの使用を事後に検出できる。他の選択肢は不正の機会を減らす予防的なコントロールであり、発見には直接つながらない。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問36（IPA）