平成30年度春期 応用情報技術者試験 午前 問58

正解：エ

AI解説

アクセス権管理の原則は「必要最小限の権限を必要な期間だけ付与する」ことである。退職・異動者のアクセス権を年度初めにまとめて削除・変更する運用では，退職・異動から削除までの間，不要なアクセス権が残存し，不正アクセスや情報漏えいのリスクが生じる。削除・変更は退職・異動の都度速やかに行うべきであり，これが指摘事項となる。 ア: 誤り(指摘事項ではない)。利用者ID・パスワードの遵守事項が規程化され周知されているのは適切な管理状況である。 イ: 誤り(指摘事項ではない)。業務部門長による付与状況の定期レビューは，不要な権限の検出につながる適切な統制である。 ウ: 誤り(指摘事項ではない)。付与・変更・削除の管理手続が規程として定められているのは適切な状況である。 エ: 正解。退職・異動者の権限削除を年度初めに一括で行う運用は，権限の残存期間が生じるため指摘事項として報告すべきである。 💡 監査問題は「問題のある状況=指摘事項」を選ぶ形式か「適切な状況」を選ぶ形式かをまず確認する。アクセス権は「付与は承認を得て最小限，削除は遅滞なく」が鉄則で,「まとめて」「定期的に一括で」削除する記述は残存リスクありとして指摘対象になる。