ＲＣＭ：▲▲システムに係るアクセス権限管理

リスク

固有リスク

整備状況確認コントロール
予防Ｒ１
非権限者にアクセスされること【リスクシナリオ】
アクセス権限の設定や削除を誤るにより、非権限者にアクセスされ、資産情報の漏洩や破壊が発生する

M発見

マニュアル

システム キーコントロール

Ｃ１
部長は、「▲▲システム権限設定申請書」、「権限設定変更結果一覧」により、該当者の権限が設定されたことを確認し、同一覧に承認印を押印している

●

●

●

運用状況確認

整備状況

証憑

整備状況評価評価日2013.6.1 評価者○○「システム管理マニュアル」

有効である・「システム管理マニュアル」を査読し、以下のように記載されていることを確認した。
3.アクセス権限削除(2)承認者（部長）は、「システム権限削除申請書」、「権限設定変更結果一覧」により、該当者の権限が削除されたことを確認し、同一覧に承認印を押印する。
●●●

運用状況確認結果

証憑

運用状況評価評価日2013.7.3 評価者○○「▲▲システム権限設定申請書」

有効である

今期4月1日から6月30日の間 【検出事項なし】に起票された「▲▲システム権 今期4月1日から6月30日の間 「権限設定変更結限設定申請書」を閲覧し、該当 に起票された「▲▲システム権 果一覧」
社員の▲▲システムへのアク 限設定申請書」全2件を閲覧セス権限が設定されているこ し、該当社員の▲▲システムとを確認した証跡として、各へのアクセス権限が設定され「▲▲システム権限設定申請 ていることを確認した証跡とし書」に部長の承認印があること て、各「▲▲システム権限設定を確認する。
申請書」に部長の承認印があ
また、各「▲▲システム権限設 ることを確認した。
定申請書」に添付の「権限設 また、各「▲▲システム権限設定変更結果一覧」を閲覧し、該 定申請書」に添付の「権限設当社員について、漏れなく▲ 定変更結果一覧」を閲覧し、該▲システムへのアクセス権限 当社員について、漏れなく▲が設定されていることを確認 ▲システムへのアクセス権限する。
が設定されていることを確認した。

・「システム管理マニュアル」を査読し、以下のように記載されていることを確認した。
2.アクセス権限設定(2)承認者（部長）は、「システム権限背設定申請書」、「権限設定変更結果一覧」により、該当者の権限が設定されたことを確認し、同一覧に承認印を押印する。

評価日2013.6.1 評価者○○

Ｃ２
部長は、「▲▲システム権限削除申請書」、「権限設定変更結果一覧」により、該当者の権限が削除されたことを確認し、同一覧に承認印を押印している

運用状況確認テスト【検査】「システム管理マニュアル」

有効である

【検査】
評価日2013.7.3 評価者○○ 「▲▲システム権限削除申請書」
人事部へ作成を依頼した「X【検出事項なし】チーム異動者、退職者リスト」 人事部へ作成を依頼した「▲ 「権限設定変更結から抽出した今期4月1日から6 ▲チーム異動者、退職者リス 果一覧」
月30日の間にXチームから異 ト」から抽出した今期4月1日か動または退職した社員につい ら6月30日の間にXチームからて、アクセス権限削除の際に 異動または退職した3名の社作成された「▲▲システム権 員について、アクセス権限削限削除申請書」を閲覧し、該当 除の際に作成された「▲▲シ社員の▲▲システムへのアク ステム権限削除申請書」を閲セス権限が削除されているこ 覧し、該当社員の▲▲システとを確認した証跡として、各ムへのアクセス権限が削除さ「▲▲システム権限削除申請 れていることを確認した証跡と書」に部長の承認印があること して、各「▲▲システム権限削を確認する。
除申請書」に部長の承認印がまた、各「▲▲システム権限削 あることを確認した。
除申請書」に添付の「権限設 また、各「管財システム権限削定変更結果一覧」を閲覧し、該 除申請書」に添付の「権限設当社員について、漏れなく▲ 定変更結果一覧」を閲覧し、該▲システムへのアクセス権限 当社員について、漏れなく管が削除されていることを確認 財システムへのアクセス権限する。
が削除されていることを確認した。

有効である

ＲＣＭ：▲▲システムに係るアクセス権限管理

リスク

固有リスク

整備状況確認コントロール
予防発見マニュアル

システム キーコントロール

Ｃ３
Xチームチームリーダー
は、四半期ごとに、「管財システム権限保有者一覧」、「管財チーム在籍社員名簿」を出力後、照合し、一致していることを確認した上で「権限保有者一覧」に押印している●

運用状況確認

整備状況

証憑

整備状況評価運用状況確認テスト

評価日2013.6.1 評価者○○「システム管理マニュアル」

有効である

キーコントロールではないため、運用状況確認テストは実施せず有効である【検査】
評価日2013.7.4 評価者○○ 「▲▲システム権限保有者一覧」
今期第二四半期の期初に▲ 【検出事項なし】▲システムのアクセス権限棚 今期第二四半期の期初に▲ 「Xチーム在籍社卸しが実施された証跡（「▲▲ ▲システムのアクセス権限棚 員名簿」
システム権限保有者一覧」、 卸しが実施された証跡である「Xチーム在籍社員名簿」）を閲 平成24年7月2日付「▲▲シス覧し、総務部長の承認印が押 テム権限保有者一覧」および印されていることを確認する。 「Xチーム在籍社員名簿」を閲
また、今期第二四半期の期初 覧し、（部室名）部長の承認印に▲▲システムのアクセス権 が押印されていることを確認し限棚卸しが実施された証跡た。
（「▲▲システム権限保有者一 また、今期第二四半期の期初覧」、「Xチーム在籍社員名に▲▲システムのアクセス権簿」）を閲覧し、Xチーム在籍社 限棚卸しが実施された証跡で員以外の者に▲▲システムへ ある平成24年7月2日付「▲▲のアクセス権限が付与されて システム権限保有者一覧」おいないことを確認する。
よび「Xチーム在籍社員名簿」を閲覧し、Xチーム在籍社員全5名以外の者に▲▲システムへのアクセス権限が付与されていないことを確認した。

・「システム管理マニュアル」を査読し、以下のように記載され インタビューていることを確認した。
5.アクセス権限棚卸し(1)各部において、四半期の期初ごとに、所管のシステムについて、「アクセス権限保有者一覧」等によりアクセス権限の棚卸しを実施し、不要な権限が設定されていないかを確認する。

●

運用状況確認結果

証憑

運用状況評価・（個人姓名）Xチームチームリーダーへのインタビューにより、四半期ごとに、「▲▲システム権限保有者一覧」、「Xチーム在籍社員名簿」を出力後、照合し、一致していることを確認した上で「権限保有者一覧」に押印しているということを確認した。
評価日2013.6.1 評価者○○

Ｃ４
部長は、四半期ごとに、「▲▲システム権限保有者一覧」、「Xチーム在籍社員名簿」を出力後、照合し、一致していることを確認した上で「権限保有者一覧」に押印している

●

●

●

「システム管理マニュアル」
・「システム管理マニュアル」を査読し、以下のように記載され インタビューていることを確認した。
5.アクセス権限棚卸し(1)各部において、四半期の期初ごとに、所管のシステムについて、「アクセス権限保有者一覧」等によりアクセス権限の棚卸しを実施し、不要な権限が設定されていないかを確認する。
・（個人姓名）部長へのインタビューにより、四半期ごとに、「管財システム権限保有者一覧」、「管財チーム在籍社員名簿」を出力後、照合し、一致していることを確認した上で「権限保有者一覧」に押印しているということを確認した。

有効である