令和6年度 秋期 情報処理安全確保支援士 午前II 問25

各選択肢の解説

ア

組織としてアクセス管理規程を定め、統一的なアクセス管理を行う。

誤りです。アクセス管理規程を定めて統一的に運用することは、組織全体を対象とするルールの整備です。全社的な統制やIT全般統制の土台に当たり、個々の業務アプリケーションの中で働く統制ではありません。業務処理統制にするには、その規程に沿った認証やアクセス制御の機能をアプリケーションシステムに組み込む必要があります。

イ

組織としてアクセス権限の設定方針を定め、周知徹底を図る。

誤りです。アクセス権限の設定方針を定めて周知徹底することは、組織全体に向けた方針の策定と伝達です。全社的な統制やIT全般統制の性格を持ちます。業務処理統制にするには、方針に沿って利用者ごとの操作範囲を限定する権限制御を、アプリケーションシステム自体に実装する必要があります。

ウ

組織内のアプリケーションシステムに、利用者 IDとパスワードによって利用者を認証する機能を設ける。

正しいです。実施基準は、ITに係る業務処理統制の例として「システムの利用に関する認証、操作範囲の限定などアクセスの管理」を挙げています。アプリケーションシステムに組み込まれた利用者IDとパスワードによる認証機能は、業務処理の中で不正な利用者を排除する統制であり、これに該当します。

エ

組織内の全ての利用者に対して、アクセス管理の重要性についての教育を行う。

誤りです。全利用者にアクセス管理の重要性を教育することは、人に対する啓発です。統制環境や全社的な統制の性格を持ち、アプリケーションシステムの処理として働く統制ではありません。業務処理統制にするには、教育ではなく、アプリケーションシステムに組み込んだ認証や操作範囲の限定によってアクセスを管理する必要があります。