アクセス管理に関する内部統制｜情報処理安全確保支援士 令和4年 春期午前Ⅱ試験 問25
出典：令和4年春期 午前Ⅱ 問25
分野：システム監査（中分類） ／ 内部統制
金融庁"財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）"におけるアクセス管理に関して，内部統制のうちのITに係る業務処理統制に該当するものはどれか。
- ア：組織としてアクセス管理規程を定め，統一的なアクセス管理を行う。
- イ：組織としてアクセス権限の設定方針を定め，周知徹底を図る。
- ウ：組織内のアプリケーションシステムに，業務内容に応じた権限を付与した利用者IDとパスワードによって認証する機能を設ける。
- エ：組織内の全ての利用者に対して，アクセス管理の重要性についての教育を行う。
TSUNAGARU-ADVICE
まず押さえたいこと
ITに係る業務処理統制は、個別の業務アプリケーションに組み込まれた統制です。アクセス管理では、業務内容に応じた権限をもつ利用者IDとパスワードで認証する機能などが該当します。
迷ったときの判断軸
アクセス管理規程の整備、権限設定方針の周知、教育は、組織全体に関わる統制です。一方で、アプリケーションシステム内に認証機能や権限制御を設けるものは、業務処理に直接組み込まれたIT統制として判断できます。
科目Bにつなげるために
財務報告に係る内部統制の分類そのものは、支援士試験の科目Bで中心的に問われる可能性は高くありません。ただし、この問題で扱う利用者ID・認証・権限制御はセキュリティ実務にも直結します。科目B対策では、最小権限・職務に応じた権限付与・認証・特権ID管理・アクセスログなど、実際のアクセス制御を優先して理解しましょう。
ITに係る業務処理統制は、個々の業務処理を正しく行うために、アプリケーションシステムなどに組み込まれる統制です。
アクセス管理の中でも、業務内容に応じた権限を付与した利用者IDとパスワードで認証する機能をアプリケーションシステムに設けることは、業務処理に直接関係するIT統制に当たります。
したがって、ウが適切です。
なお、財務報告に係る内部統制の評価及び監査に関する基準・実施基準は2023年4月に改訂されています。本問は令和元年版を前提とした問題です。
❌他選択肢が誤りの理由ア：組織としてアクセス管理規程を定め，統一的なアクセス管理を行う。
⇒アクセス管理規程を定めることは、組織全体のIT管理方針やルールに関する統制です。個々のアプリケーションの業務処理に組み込まれた統制ではないため、ITに係る業務処理統制ではなく、IT全般統制に近い内容です。
イ：組織としてアクセス権限の設定方針を定め，周知徹底を図る。
⇒アクセス権限の設定方針を定めて周知することは、組織全体のアクセス管理の枠組みを整える統制です。業務アプリケーション内で個別の取引や処理を制御するものではないため、ITに係る業務処理統制には該当しません。
エ：組織内の全ての利用者に対して，アクセス管理の重要性についての教育を行う。
⇒教育は、アクセス管理に関する意識向上やルール遵守を目的とした組織的な統制です。アプリケーションシステムの業務処理に直接組み込まれる統制ではないため、ITに係る業務処理統制とは異なります。