問41
頻出度★★★
会計システムに次のようなアクセスの記録を蓄積する機能があるとき, この蓄積された情報を利用して実施するシステム監査の目的として, 適切なものはどれか。 入力されたユーザ ID とパスワードの組合せを, あらかじめ登録された内容と照合し, 一致する場合は会計業務メニュー画面へ遷移し, 一致しない場合はログインエラー画面へ遷移する。このとき, ユーザ ID, 照合日時及び照合結果をアクセス記録として蓄積する。
平成26年度 秋期 ITパスポート試験 問41
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 41
不正解ア
障害情報の記録を確認する目的には使えません。蓄積されるのは ID・照合日時・照合結果だけで、ハードウェア故障やアプリケーションの異常終了といった障害の事象・原因は一切含まれていません。なお「照合結果が不一致」はパスワードの入力誤りや不正アクセスの試行を意味するものであって、システム障害ではありません。障害情報の確認には障害記録簿やシステムログ (エラーログ) が必要です。
不正解イ
利用者にとっての利便性は、このアクセス記録からは評価できません。利便性の確認には画面の操作性、応答時間、操作手順の分かりやすさ、利用者へのアンケートやヒアリングなどが必要ですが、ログイン認証の成否記録にはそうした情報が含まれていません。
- ウ
正解 正解はウ。蓄積されるのは「ユーザ ID」「照合日時」「照合結果 (一致/不一致)」という、ログイン認証の成否を記録したアクセス記録 (アクセスログ) です。システム監査ではこの種のログが有力な監査証拠になります。ここから監査人は、登録されていない ID や退職者・異動者の ID でのログイン試行がないか、認証失敗が繰り返されている ID (不正アクセスの兆候) がないか、業務時間外や想定外の頻度で利用されている ID がないか、といった点を確かめられます。これらはいずれも「誰にどの利用権限を与え、その付与・変更・削除がきちんと運用されているか」の検証にほかなりません。したがって、この情報を利用して実施する監査の目的として適切なのは「システム利用権限の運用の適切性を確認する」ことです。
不正解エ
品質マネジメントシステム (QMS、ISO 9001 など) の要求事項への適合性を確認するのは、システム監査ではなく品質マネジメントシステム審査の領域です。また対象も、製品・サービスの品質を確保するための組織の仕組み全体 (方針、手順書、記録、是正処置など) であり、ログイン認証のアクセス記録だけで適合性を判断することはできません。
ここがポイント
- システム監査では、システムが自動的に残すログ (アクセスログ、操作ログ、更新履歴) が客観性の高い監査証拠となる。監査目的は「そのログから何が検証できるか」で決まるので、記録されている項目 (ここではユーザ ID・照合日時・照合結果) を確認して判断する。
- ログイン認証のアクセスログはアクセス管理 (アクセスコントロール) の監査に用いる。不正アクセスの試行の検知に加え、ID の登録・変更・削除が適切に行われているか、不要な ID が残っていないかという「利用権限の運用の適切性」を確かめる材料になる。
用語