データベース直接修正におけるログ改ざんの監査指摘事項

特権IDを用いた直接修正のログを故意に加工・改ざんし、あたかも正規のアプリケーション経由で処理されたかのように装う行為は、監査証跡(オーディットトレイル)の改ざん・隠蔽であり、内部統制およびセキュリティ上の重大な不正行為(指摘事項)となります。したがって正解はアです。 事前申請と事後結果の二重承認は、直接修正を適切に統制するための標準的な管理策です。 使用時以外に特権IDを無効化(一時発行・失効管理)しておくことは、適切なアクセス統制です。 利用部門の正式な依頼書に基づき職務分掌されたシステム部門が修正を行うことは、適切な運用手続です。

データベースの直接修正に関して,監査人がシステム監査報告書で報告すべき指摘事項はどれか。ここで,直接修正とは,アプリケーションソフトウェアの機能を経由せずに,特権IDを使用してデータを追加,変更又は削除することをいう。

出典令和2年度 10月特別 システム監査技術者試験 午前Ⅱ 問9
ア
更新ログを加工して,アプリケーションソフトウェアの機能を経由した正常な処理によるログとして残していた。
イ
事前のデータ変更申請の承認,及び事後のデータ変更結果の承認を行っていた。
ウ
直接修正の作業時以外は,使用する直接修正用の特権IDを無効にしていた。
エ
利用部門からのデータ変更依頼書に基づいて,システム部門が直接修正を実施していた。