データベースの直接修正に関して、監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケーションソフトウェアの機能を経由せずに、特権IDを使用してデータを追加、変更又は削除することをいう。

選択肢

• ア更新ログを加工して、アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。
• イ事前のデータ変更申請の承認、及び事後のデータ変更結果の承認を行っていた。
• ウ直接修正の作業時以外は、使用する直接修正用の特権IDを無効にしていた。
• エ利用部門からのデータ変更依頼票に基づいて、システム部門が直接修正を実施していた。

正解と解説

正解：ア 更新ログを加工して、アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。

特権IDによるデータ直接修正は、アプリケーションの統制を迂回する高リスク作業であり、申請・承認と作業記録の保全によって事後追跡できることが統制の要である。更新ログを加工して通常処理を装うと、直接修正の事実そのものが隠蔽され、証跡の完全性が失われる。これは統制の無効化に当たるため指摘事項となる。

選択肢ごとの解説

• ア正しい。ログを加工して通常処理に見せかける行為は証跡を偽り、追跡可能性を失わせる重大な不備である。
• イ事前申請の承認と事後結果の承認は、直接修正に対する適切な統制である。
• ウ作業時以外は特権IDを無効化する運用は、権限の最小化として望ましい。
• エ利用部門の依頼票に基づきシステム部門が実施するのは、職務分離を踏まえた妥当な手続である。

同じ分野の他の問題

• システム監査における監査証跡はどれか。2017年度 春期 午前II 問7
• システム監査基準（平成30年）における“十分かつ適切な監査証拠”を説明したものはどれか。2023年度 秋期 午前II 問7
• 内部監査部門に所属するシステム監査人が実施する監査において、監査調書に関する記述のうち、最も適切なものはどれか。2023年度 秋期 午前II 問6
• システム監査基準（平成30年）における“十分かつ適切な監査証拠”を説明したものはどれか。2021年度 秋期 午前II 問8
• システム監査人が行った監査業務の実施記録であり,監査意見表明の根拠となるべき監査証拠,その他関連資料などをまとめたものは…2018年度 春期 午前II 問5