実動プログラムは、企業のデータを処理するために使用されます。実動プログラムの変更に対する管理は厳格に行う必要があります。この領域で管理が不十分だと、アプリケーション プログラムが変更されてデータが操作される可能性があります。アプリケーション プログラマーは、テスト プログラムに変更を実装する必要があります。これらは開発でのみ使用され、データの実際の処理には直接影響しません。運用サポート スタッフによるバッチ スケジュールの変更の実装は、バッチのスケジュールにのみ影響し、実際のデータには影響しません。データベース管理者は、データ構造の変更を実装する必要があります。これは、データベース内のフィールドまたはテーブルの追加、変更、または削除を可能にするために、データベースを再編成するために必要です。

説明
利益相反や職務分離の原則違反を回避するために、データベース管理者 (DBA) がエンド ユーザーの責任を負わないようにする必要があります。エンド ユーザーの責任には、トランザクションの開始、トランザクションの承認、トランザクションの記録、トランザクションの調整などが含まれます。エンド ユーザーの責任を負っている DBA は、データとデータベース システムの整合性、機密性、可用性を損なう可能性があります。機密情報へのアクセス、実稼働ファイルへのアクセス、緊急ユーザー ID の使用は、エンド ユーザーの責任ではなく、DBA の役割に関連する潜在的なリスクまたは制御です。参考資料:
データベース管理者 (DBA) の定義
職務の分離 | ISACA
[エンドユーザーの定義]

説明
ある組織がリモート ワークフォースに移行しています。その準備として、IT 部門はリモート アクセス インフラストラクチャとシステムのストレス テストと容量テストを実施しています。このタイプのコントロールは、望ましい結果を達成するためのアクションを指示またはガイドするために実装されています。したがって、これは指示的コントロールです。指示的コントロールは、望ましくないイベントの発生を防ぐためのプロアクティブなコントロールです。これには、ポリシー、標準、手順、ガイドライン、トレーニング、テストが含まれます。検出的コントロールは、すでに発生した望ましくないイベントを特定するためのリアクティブなコントロールです。これには、監視、ログ記録、監査、レポートが含まれます。
予防的コントロールは、望ましくないイベントの発生を回避するためのプロアクティブなコントロールです。これには、認証、暗号化、ファイアウォール、およびウイルス対策ソフトウェアが含まれます。代替コントロールは、主要なコントロールが実行不可能または費用対効果が低い場合に、主要なコントロールと同等のレベルの保護を提供する代替コントロールです。これには、職務の分離、手動レビュー、およびバックアップ システムが含まれます。参考資料: CISA レビュー マニュアル (デジタル版)、[ISACA 用語集]

説明
監査人が行うべき最善の推奨事項は D です。ライン管理者は定期的にアクセス権を確認し、変更を要求する必要があります。アクセス権とは、システムまたはネットワーク上のデータやリソースにアクセス、表示、変更、または削除するためにユーザーに付与される許可と特権です1。過剰な権限とは、ユーザーの役割や機能に必要または適切ではないアクセス権であり、データやリソースの不正使用や不適切な使用のリスクをもたらす可能性があります2。したがって、アクセス権が最小権限の原則に沿っていることを確認することが重要です。つまり、ユーザーには職務を遂行するために必要な最小限のレベルのアクセス権のみを与える必要があります2。
ライン管理者は、スタッフの活動とパフォーマンスを監督し、組織のポリシーと基準に準拠していることを確認する責任があります3。したがって、ライン管理者は、次の事項について最適な立場にあるため、スタッフのアクセス権を定期的に確認し、変更を要求する必要があります。
スタッフの役割と機能を理解し、職務を効果的かつ効率的に遂行するために必要な適切なレベルのアクセス権を決定します。
スタッフの使用状況と行動を監視および評価し、過剰または不適切なアクセス権を示す可能性のある変更や異常を特定します。
アクセス権の付与、取り消し、または変更を担当する IT セキュリティ管理者またはシステム管理者と通信して協力し、必要な調整や修正を要求します。