アクセス権管理の監査での指摘事項
出典: 平成30年度 春期 応用情報技術者試験 午前 問58 (IPA)
システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち，監査人がシステム監査報告書で報告すべき指摘事項はどれか。
- ア アクセス権を付与された利用者 ID・パスワードに関して，システム利用者が遵守すべき事項が規程として定められ，システム利用者に周知されていた。
- イ 業務部門長によって，所属するシステム利用者に対するアクセス権の付与状況のレビューが定期的に行われていた。
- ウ システム利用者に対するアクセス権の付与・変更・削除に関する管理手続が，規程として定められていた。
- エ 退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は，定期人事異動がある年度初めに全てまとめて行われていた。
正解と解説を見る
正解: エ
- ア: 利用者が遵守すべき事項が規程で定められ周知されているのは、適切な状況です。
- イ: 業務部門長が付与状況のレビューを定期的に行っているのは、適切な状況です。
- ウ: アクセス権の管理手続が規程として定められているのは、適切な状況です。
- エ: 退職・異動者のアクセス権の削除・変更が年度初めにまとめて行われていると、不要なアクセス権が長期間残るので、指摘事項です。正しい答えです。
ポイント
監査報告書には、不備や問題点 (指摘事項) を報告します。規程が整備されていたり、定期的にレビューされていたりする 良好な状況 は指摘事項ではありません。
- 退職・異動した利用者のアクセス権の削除・変更を 年度初めにまとめて 行っていると、それまでの間、不要なアクセス権が残る ため、不正利用のおそれがあります。これは指摘事項です。