許可されたアクセスの意図しない誤用を軽減するための最も効果的な制御は、セキュリティ意識向上トレーニングです。
これは、セキュリティ意識向上トレーニングによって、アクセス権の適切な使用、誤用による潜在的な結果、情報システムの機密性、整合性、可用性を保護するためのベスト プラクティスについてユーザーを教育できるためです。セキュリティ意識向上トレーニングは、フィッシング、マルウェア、ソーシャル エンジニアリングなどの一般的な脅威をユーザーが認識して回避するのにも役立ちます。
許容使用ポリシーの年次承認、ユーザー アクセス ログの定期的な監視、および正式な懲戒処分は、許可されたアクセスの意図しない誤用を軽減するための最も効果的な制御ではありません。これらの制御は意図的な誤用を阻止または検出するのに役立ちますが、意図しない誤用の根本的な原因、つまりセキュリティ ポリシーと手順に関する知識や認識の欠如に対処するものではありません。

説明/参照:
Explanation:
データ所有者は、責任を負っているデータとアプリケーションへのアクセスを許可する権限と責任を持つ必要があります。データ管理者は、データの保存と保護に対してのみ責任を負います。
データベース管理者 (DBA) はデータベースの管理を担当し、セキュリティ管理者は IS セキュリティの実装と維持を担当します。データに対する最終的な責任はデータ所有者にあります。

セクション: 情報資産の保護
Explanation:
統合システム環境では、送信側アプリケーションと受信側アプリケーションの両方に入出力制御を実装する必要があります。

説明
職務の分離 (SoD) は、ビジネス プロセス内で 1 人の個人が互換性のないタスクや矛盾するタスクを実行できないようにすることで、不正行為やエラーを防止することを目的とした重要な内部統制です。SoD により、不正または不適切なトランザクション、データの操作、資産の不正流用などのリスクが軽減されます。
買掛金部門では、SoD によって請求書処理、支払い承認、支払い実行、および調整の機能が分離されます。たとえば、請求書を承認する人物は、支払いを発行したり銀行取引明細書を調整したりする人物と同じであってはなりません。
買掛金部門内で適切な SoD を確保する最善の方法の 1 つは、ユーザー セキュリティ プロファイルに従ってプログラム機能を制限することです。つまり、買掛金システムの各ユーザーは固有のログインとパスワードを持ち、役割と責任に関連する機能にのみアクセスできるようにする必要があります。たとえば、請求書処理担当者は支払いを承認したり、ベンダー レコードを変更したりすることはできません。このようにして、システムは SoD を強制し、不正または詐欺的なアクティビティを防止できます。
他のオプションは、ユーザーのセキュリティ プロファイルに従ってプログラム機能を制限するほど効果的ではありません。
更新プログラムへのアクセスを買掛金担当者のみに制限することは、一般的なアクセス制御手段ですが、買掛金部門内の SoD の問題には対処しません。作成されたすべてのトランザクション レコードに作成者のユーザー ID をフィールドとして含めることは、便利な監査証跡機能ですが、ユーザーが互換性のない機能を実行するのを防ぐことはできません。トランザクションの監査証跡が存在することを確認することは、不正行為を特定して調査するのに役立つ検出制御ですが、そもそも不正行為の発生を防ぐことはできません。

参照整合性は、テーブル間のすべての参照が有効で一貫性があることを保証するデータのプロパティです。参照整合性コントロールを無効にすると、孤立したレコード、データの異常、および不正確なクエリが発生する可能性があります。参照整合性の欠如を補う最も効果的な方法は、すべての外部キーが関連テーブル内の既存の主キーと一致することを確認する定期的なテーブル リンク チェックを実行することです。
より頻繁なデータ バックアップ、同時アクセス制御、パフォーマンス監視ツールでは、データの一貫性と正確性の問題は解決されません。参考文献: ISACA CISA レビュー マニュアル第 27 版、291 ページ