問30
頻出度★★☆
内部統制の一環として, 業務分掌と整合のとれたアクセス管理を実現することになった。情報システムの開発において, アクセス管理の検討を開始するプロセスとして, 適切なものはどれか。
平成27年度 秋期 ITパスポート試験 問30
ストラテジ系システム企画 › 要件定義
这道题的解析和你的作答记录。
解説
問 30
- ア
正解 正确答案是ア「需求定义」。访问管理属于信息系统应满足的需求（功能需求与非功能需求）的一部分，要使其与职责分离（谁负责哪项业务、拥有多大权限）保持一致，就必须在开发的最上游即需求定义阶段，对访问控制的方针、对象和范围进行研究与定义。只要在需求定义中纳入这一点，就能在之后的设计、实现工序中一贯地反映出来，从而确实地嵌入内部控制所追求的防止舞弊与职责分离。因此，作为「开始」研究的过程，恰当的是需求定义。
错误イ
编程是把在需求定义、设计中确定的规格实际落实为代码的实现工序。若到这里才开始研究访问管理，就无法反映到上游的需求与设计中，也无法与职责分离保持一致，因此作为开始研究的环节并不恰当。
错误ウ
测试是验证已实现的功能是否按需求运行的工序。在这一阶段才开始研究访问管理为时过晚，一旦发生规格变更，就会导致需求定义、设计、实现都出现大幅返工。
错误エ
若在投入运行之后才开始研究，就变成对已经运行中的系统进行事后补救，存在带着内部控制上的缺陷继续运行的风险。访问管理本应在投入运行之前的开发工序中就纳入进去。
ここがポイント
- 访问管理与安全需求，原则上应在开发的最上游即需求定义阶段进行研究与定义（安全性内建设计，Security by Design）。若拖到后续工序再来构建，会招致返工或构建不充分。
- 在内部控制中，需要使职责分离与访问权限保持一致，其方针应在需求定义阶段确立，并一贯地反映到之后的工序中。
用語