科目A-2（多肢選択式）
あるシステムで、アプリケーション開発者が本番環境のデータベースに直接アクセスし、データを更新できる権限を保持していることが判明した。この状況に対する監査人の評価として最も適切なものはどれか。
- A開発者は技術に精通しているため、本番環境への直接アクセスは効率的でありリスクは低いと評価する
- ✓開発と運用の職務分掌が確保されておらず、不正な変更や誤操作を統制で防止・検知できないリスクがあると評価する
- C本番環境へのアクセスはログが記録されていれば職務分掌上の問題はないと評価する
- D開発者のアクセスは緊急時のみ想定されるため、恒常的な権限付与であっても問題ないと評価する
解説
開発担当者が本番環境への直接アクセス権限を恒常的に保持していると、開発と運用の職務分掌が機能せず、不正な変更や誤操作を未然に防止・検知する統制が働かない。ログの記録だけでは事前の防止統制にはならない。
根拠システム開発・運用の監査（職務分掌、アクセス管理）