特権IDを使用したデータ操作｜情報処理安全確保支援士 平成30年 春期午前Ⅱ試験 問25
出典：平成30年春期 午前Ⅱ 問25
分野：システム監査（中分類） ／ システム監査（小分類）
データベースの直接修正に関して，監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションの機能を経由せずに，特権IDを使用してデータを追加，変更又は削除することをいう。
- ア：更新ログを加工して，アプリケーションの機能を経由した正常な処理によるログとして残していた。
- イ：事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
- ウ：直接修正の作業時以外は，使用する直接修正用の特権IDを無効にしていた。
- エ：利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。
TSUNAGARU-ADVICE
まず押さえたいこと
データベースの直接修正は、アプリケーションの通常機能を経由せず、特権IDでデータを追加・変更・削除する例外的な作業です。そのため、実際には直接修正したにもかかわらず、更新ログを加工してアプリケーション経由の正常処理のように残すことは、作業実態を隠す不適切な処理であり、監査上の指摘事項になります。
迷ったときの判断軸
事前申請と事後承認、作業時以外の特権ID無効化、利用部門からの依頼票に基づく修正は、直接修正のリスクを抑えるための統制として考えられます。一方で、ログを加工して正常処理に見せかける行為は、追跡可能性や証跡の信頼性を損ないます。監査では、誰が、いつ、何を、なぜ変更したかが正しく追跡できるかを重視しましょう。
科目Bにつなげるために
科目Bでは、特権ID管理、変更申請、承認、ログ管理、証跡保全、職務分離などと絡めて問われることがあります。直接修正を完全に禁止できない場合でも、事前承認、作業記録、事後確認、ログ改ざん防止によって、例外作業を統制された状態で実施する視点を持ちましょう。
※監査関連試験向け。
データベースの直接修正は、通常のアプリケーションによる入力チェックや承認処理を経由しないため、厳格な申請・承認・記録・事後確認が必要です。
更新ログを加工し、アプリケーション経由の正常な処理であるかのように見せる行為は、変更の実態を追跡できなくし、監査証跡の信頼性を損ないます。そのため、システム監査報告書で指摘すべき重大な問題です。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
⇒直接修正に対する適切な統制です。事前承認によって修正の必要性や内容を確認し、事後承認によって結果の妥当性を確認しています。
ウ：直接修正の作業時以外は，使用する直接修正用の特権IDを無効にしていた。
⇒特権IDの不正利用を防ぐための適切な統制です。必要な作業時だけ有効化することで、常時利用可能な状態よりもリスクを低減できます。
エ：利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。
⇒利用部門の依頼に基づき、システム部門が作業を行うこと自体は不適切ではありません。依頼内容の承認、作業記録、実施結果の確認などの統制が適切に行われていれば、監査上の指摘事項にはなりません。