問30
頻出度★★☆
内部統制の一環として, 業務分掌と整合のとれたアクセス管理を実現することになった。情報システムの開発において, アクセス管理の検討を開始するプロセスとして, 適切なものはどれか。
平成27年度 秋期 ITパスポート試験 問30
ストラテジ系システム企画 › 要件定義
この問題の解説と、これまでの解答の記録です。
解説
問 30
- ア
正解 正解はア「要件定義」。アクセス管理は情報システムが満たすべき要件（機能要件・非機能要件）の一部であり、業務分掌（誰がどの業務を担当し、どこまでの権限をもつか）と整合させるには、開発の最上流である要件定義の段階でアクセス制御の方針・対象・範囲を検討・定義しておく必要がある。要件定義で織り込んでおけば、以降の設計・実装工程に一貫して反映でき、内部統制の狙いである不正防止・職務分離を確実に組み込める。したがって検討を「開始する」プロセスとして適切なのは要件定義である。
不正解イ
プログラミングは要件定義・設計で決めた仕様を実際のコードに落とし込む実装工程。ここで初めてアクセス管理を検討し始めると、上流の要件・設計に反映されず業務分掌との整合が取れないため、検討を開始する場としては不適切。
不正解ウ
テストは実装済みの機能が要件どおり動くかを検証する工程。この段階でアクセス管理の検討を始めるのは遅すぎ、仕様変更が生じれば要件定義・設計・実装まで大きな手戻りとなる。
不正解エ
運用開始後に検討を始めると、すでに稼働中のシステムへの後付け対応となり、内部統制上の不備を抱えたまま運用してしまうリスクがある。アクセス管理は運用前の開発工程で織り込んでおくべきもの。
ここがポイント
- アクセス管理・セキュリティ要件は開発の最上流である要件定義の段階で検討・定義するのが原則（セキュリティ・バイ・デザイン）。後工程で作り込むと手戻りや作り込み不足を招く。
- 内部統制では業務分掌（職務分離）とアクセス権限を整合させる必要があり、その方針は要件定義で確立して以降の工程に一貫して反映する。
用語