問41
頻出度★★★
会計システムに次のようなアクセスの記録を蓄積する機能があるとき, この蓄積された情報を利用して実施するシステム監査の目的として, 適切なものはどれか。 入力されたユーザ ID とパスワードの組合せを, あらかじめ登録された内容と照合し, 一致する場合は会計業務メニュー画面へ遷移し, 一致しない場合はログインエラー画面へ遷移する。このとき, ユーザ ID, 照合日時及び照合結果をアクセス記録として蓄積する。
平成26年度 秋期 ITパスポート試験 問41
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 41
错误ア
这些记录无法用于确认系统记录了故障信息。所积累的只有 ID、核对时间和核对结果，完全不包含硬件故障、应用程序异常终止之类的故障现象与原因。另外，「核对结果为不一致」表示的是密码输入错误或非法访问的尝试，而不是系统故障。要确认故障信息，需要的是故障记录簿或系统日志(错误日志)。
错误イ
从这份访问记录无法评价系统对使用者而言的便利性。要确认便利性，需要画面的可操作性、响应时间、操作步骤是否易懂，以及面向使用者的问卷调查或访谈等信息，而登录认证的成败记录并不包含这些内容。
- ウ
正解 正确答案是ウ。所积累的是「用户 ID」「核对时间」「核对结果(一致/不一致)」，也就是记录登录认证成败的访问记录(访问日志)。在系统审计中，这类日志是有力的审计证据。审计人员可以据此确认：是否存在用未登记的 ID 或离职、调岗人员的 ID 尝试登录的情况；是否存在反复认证失败的 ID(非法访问的迹象)；是否存在在工作时间之外或以预料之外的频率被使用的 ID 等。这些无一不是在验证「给谁赋予了何种使用权限，以及这些权限的赋予、变更、删除是否得到了妥善的运行管理」。因此，利用这些信息所实施的审计，其恰当的目的就是「确认系统使用权限运行管理的适当性」。
错误エ
确认对质量管理体系(QMS，如 ISO 9001 等)要求事项的符合性，属于质量管理体系审核的范畴，而不是系统审计。而且其对象是为确保产品与服务质量而建立的整个组织机制(方针、程序文件、记录、纠正措施等)，仅凭登录认证的访问记录无法判断其符合性。
ここがポイント
- 在系统审计中，系统自动留下的日志(访问日志、操作日志、更新历史)是客观性很高的审计证据。审计目的取决于「能从该日志验证出什么」，因此要先确认其中记录了哪些项目(这里是用户 ID、核对时间、核对结果)再做判断。
- 登录认证的访问日志用于访问管理(访问控制)的审计。它除了可用于发现非法访问的尝试之外，还是确认 ID 的登记、变更、删除是否得当，以及是否残留着不需要的 ID，即「使用权限运行管理的适当性」的材料。
用語