情報セキュリティマネジメント試験過去問 - 分野別(科目A) - 内部統制

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
「内部統制」とは，組織の業務を正しく，適切に進めるための仕組みです。基本的な要素は，統制環境，リスクの評価と対応，統制活動，情報と伝達，モニタリング，ITへの対応の六つで，そのうち統制活動とは，不正やミスを防ぐために，業務の中に組み込まれたルールや手続きのことです。

「ウ」の，受注から出荷に至る業務プロセスに組み込まれた処理結果の検証は，業務の流れの中で間違いがないか確認するものなので，統制活動に当たります。例えば，受注した数と出荷した数が一致するかをチェックする仕組みです。これが正解です。

「ア」の経営方針や経営戦略は，組織の姿勢や価値観を示す統制環境にあたります。

「イ」の脅威と脆弱性の分析は，リスクを見つけて評価する，リスクの評価と対応にあたります。

「エ」の内部業務監査は，仕組みがきちんと働いているかを後から点検する，モニタリングにあたります。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
システム間で受け渡されたデータが，欠けたり誤ったりしていないかを確認する，内部統制のコントロールを選ぶ問題です。

「ウ」の入金額と入金データ件数のコントロールトータルチェックは，受け渡す側と受け取る側で，合計金額や件数を突き合わせる方法です。一致すれば，データが過不足なく正確に渡されたことを確認できます。これが正解です。

「ア」の「ランツーランコントロール」は，処理が連続して行われる際に，前の処理の出力と次の処理の入力の整合性を確かめる方法で，システム間の受渡しの確認とは目的が異なります。

「イ」のタイムスタンプ機能は，更新した日時を記録する機能で，データの網羅性や正確性を確保するものではありません。

「エ」は，入出金管理システムへの入力時点のチェックであり，受渡し時の確認ではありません。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
金融庁の基準では，内部統制の基本的要素を六つに分類しています。このうち「統制活動」は，経営者の命令や指示が確実に実行されるようにするための方針や手続のことです。職務の分掌（職務を分けて，相互に牽制させる仕組み）は，典型的な統制活動です。発注と検収を別の人に担当させれば，不正や誤りを防ぎやすくなります。したがって「エ」が正解です。

「ア」の経営方針を全社に明示することは，統制環境にあたります。

「イ」の保険契約への加入は，リスクを他者に移転する対応で，リスクの評価と対応にあたります。

「ウ」の内部監査部門による定期的な監査は，内部統制が機能しているかを評価する活動で，モニタリングにあたります。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
金融庁の実施基準では，ITの統制目標として，有効性，効率性，機密性，完全性，可用性，準拠性，信頼性の七つが示されています。このうち「信頼性」は，情報が組織の意思や意図に沿って承認され，漏れなく正確に記録，処理されることです。したがって「ウ」が正解です。

「ア」は，関連する法令や会計基準などに合致して処理されることを意味する「準拠性」です。

「イ」は，正当な権限をもつ者以外に利用されないよう保護することを意味する「機密性」です。

「エ」は，必要なときに利用可能であることを意味する「可用性」です。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
正解は「ウ」です。「コントロールトータルチェック」とは，データの件数や金額などの合計値を，送信側と受信側で突き合わせて，データが漏れなく正しく受け渡されたかを確かめる方法です。

「ア」の「アクセスコントロール」は，誰がどの情報や機能を使えるかを制限する仕組みです。

「イ」の「エディットバリデーションチェック」は，入力されたデータの形式や範囲が妥当かどうかを調べる方法です。

「エ」の「チェックデジット」は，コード番号などに検査用の数字を付け足して，入力ミスや誤りを見つける方法です。

答え ： イ
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
誤りが起きたときに，それを発見するための統制を「発見的統制」と呼びます。スプレッドシートに入力したデータを，元の入力原票と照合すれば，入力誤りを見つけられます。したがって「イ」が正解です。

「ア」のロックと「ウ」の事前承認は，誤りや不正を未然に防ぐ予防的統制です。

「エ」の定期的なバックアップは，データが失われたときに元に戻すための手段で，誤りの発見には役立ちません。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
あるシステムから別のシステムへデータを受け渡す際には，データに欠落や重複がないか（網羅性），数値が正しいか（正確性）を確かめる必要があります。入金額の合計と入金データの件数を，受け渡す前後で照合するコントロールトータルのチェックがその手段です。したがって「ウ」が正解です。

「ア」の「ランツーランコントロール」は，処理の工程間で数値を引き継いで整合を確認する手法で，システム間の受け渡しの確認ではありません。

「イ」の「タイムスタンプ」は，更新した時刻の記録にすぎません。

「エ」は，入出金管理システムへの入力時のチェックであり，システム間の受け渡しとは別です。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › 内部統制 › 内部統制
解説 ：
「特権ID」は，システムの設定変更やデータの操作など，強い権限を持つIDです。不正に使われると被害が大きいので，使用の管理が重要です。管理簿には，誰がいつ特権IDを借りて返したかが記録されます。これと実際の利用ログを照合すれば，管理簿にない時間帯の使用や，借りた人とは別人による使用などの不正を発見できます。したがって正解は「ア」です。

「イ」は，特権IDの使用を減らす予防策で，不正を発見する対策ではありません。

「ウ」は，使用の都度貸出しを受ける運用ルールで，これも予防的な管理です。

「エ」は，権限の範囲を細かく分けて被害を小さくする予防策で，発見のための対策ではないので誤りです。