システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち、監査人がシステム監査報告書で報告すべき指摘事項はどれか。

選択肢

• アアクセス権を付与された利用者ID・パスワードに関して、システム利用者が遵守すべき事項が規程として定められ、システム利用者に周知されていた。
• イ業務部門長によって、所属するシステム利用者に対するアクセス権の付与状況のレビューが定期的に行われていた。
• ウシステム利用者に対するアクセス権の付与・変更・削除に関する管理手続が、規程として定められていた。
• エ退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は、定期人事異動がある年度初めに全てまとめて行われていた。

正解と解説

正解：エ 退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は、定期人事異動がある年度初めに全てまとめて行われていた。

退職者や異動者のアクセス権が年度初めまでそのまま残るということは、権限のない者がシステムを利用できる期間が生じることを意味する。これは不正アクセスや情報漏えいにつながる重大な問題であり、監査報告書で指摘すべき事項に当たる。アクセス権の削除・変更は事由の発生の都度、速やかに行う必要がある。

選択肢ごとの解説

• ア規程が定められ周知されている状態は望ましく、指摘事項に当たらない。
• イ定期的なレビューが行われているのは適切な統制であり、指摘には当たらない。
• ウ管理手続が規程化されているのは適切な状態である。
• エ正解。異動・退職時に速やかに削除されず権限が残るのは重大な統制上の不備である。

この問題に出た用語

• 監査調書・監査証跡・監査報告書
• システム監査報告書
• 指摘事項

同じ分野の他の問題

• システム管理基準（令和5年）における，ユーザ受入テストに関する監査のチェックポイントとして，適切なものはどれか。2025年度 春期 午前 問60
• 販売管理システムにおいて、起票された受注伝票の入力が、漏れなく、かつ、重複することなく実施されていることを確かめる監査手…2019年度 秋期 午前 問60
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2022年度 秋期 午前 問58
• 事業継続計画（BCP）について監査を実施した結果、適切な状況と判断されるものはどれか。2022年度 春期 午前 問58
• アジャイル開発を対象とした監査の着眼点として、システム管理基準（平成30年）に照らして、適切なものはどれか。2021年度 秋期 午前 問58