解説

システム監査においてデータベースの「直接修正」（特権IDを使ったアプリ経由外の直接操作）について監査人が指摘すべきセキュリティ上の問題点を問う設問。選択肢aの「更新ログ上はアプリケーションソフトウェアの機能を経由したデータ更新として記録していた」が監査人の指摘事項（a：正解）。これは直接修正の実態を隠蔽（ログの偽装・改ざん）しているため、監査証跡の信頼性が損なわれており重大な統制上の欠陥となる。直接修正は本来アプリのワークフロー（承認フロー・入力チェック等）をバイパスするリスクがあり、そのリスクをログで追跡できなければ不正操作の検出が不可能になる。正しくは「直接修正である旨を明示」した更新ログを別途作成・保管し、承認者による事前・事後確認と紐付けて管理することが内部統制上求められる。

なぜ他の選択肢は違うのか

選択肢 イ

「事前のデータ変更申請の承認、および事後のデータ変更結果の承認を行っていた」は直接修正に対する正当な内部統制（二重承認）が機能していることを示しており、問題ではなくむしろ望ましい統制実施例である。監査人の指摘事項とはならない。

選択肢 ウ

「直接修正の作業終了時には直接修正用の特権IDを無効にしていた」は特権IDの利用を作業期間中のみに限定する適切な最小権限原則の実施であり、内部統制として有効な対策例である。問題のある行為ではなく、指摘事項にはならない。

選択肢 エ

「利用部門からのデータ変更依頼票に基づいてシステム部門が直接修正を実施していた」は依頼・承認の証跡（変更依頼票）が存在していることを示しており、変更管理プロセスが一定程度機能していることを示す。これ自体は問題ではなく指摘事項とはならない。

解くときのポイント

DB直接修正の内部統制ポイント: ①申請・承認プロセスの存在②監査証跡（ログ）の正確性③特権IDの管理（使用後無効化・専用ID使用）。ログが実態を反映していないことは監査証跡の信頼性を損なう重大な問題。