発見的コントロールの選択
経理部門の支払業務で，入力担当者が架空の支払データを登録して不正に送金するリスクが指摘された。このリスクに対するコントロールのうち，発見的コントロールに該当するものはどれか。
- ア支払データの登録と承認を別の担当者が行うように職務を分離し，入力担当者だけでは送金できないようにする。
- イ不正が発覚した場合の懲戒処分の規程を全従業員に周知し，不正の実行を思いとどまらせる。
- ウ不正な送金が判明した場合に，送金先からの返金の請求や会計記録の訂正を行う手順を整備する。
- エ入力担当者以外の者が，毎日の送金実績を承認済みの支払申請と突き合わせ，対応する申請のない送金がないかを確認する。
正解と解説を見る
正解 エ
この問題の基礎知識
- コントロールは働く時点で分類でき，不正や誤りの発生を未然に防ぐ予防的コントロール，発生したものを事後に見つけ出す発見的コントロール，発見後に影響を取り除き回復させる是正的コントロールがある。
- 予防的コントロールの例には職務の分離やアクセス制御，事前の承認がある。発見的コントロールの例には，ログのモニタリングや，独立した記録との照合による差異の検出がある。
- JIS Q 27002 では管理策タイプを予防，検知，是正に分類している。罰則の周知のような抑止は，予防に含めたり独立した分類としたりと，扱いが分かれる。
ア支払データの登録と承認を別の担当者が行うように職務を分離し，入力担当者だけでは送金できないようにする。
職務の分離は，一人の担当者だけで不正を完結できないようにして，不正の発生を未然に防ぐ予防的コントロールである。発生した不正を見つけ出すものではない。
イ不正が発覚した場合の懲戒処分の規程を全従業員に周知し，不正の実行を思いとどまらせる。
罰則の周知は，不正を行おうとする者を心理的に思いとどまらせる抑止的な手段（広義の予防的コントロールに含める分類もある）である。既に行われた架空の支払を検出する仕組みではない。
ウ不正な送金が判明した場合に，送金先からの返金の請求や会計記録の訂正を行う手順を整備する。
判明した不正の影響を取り除き，正しい状態に戻すための是正（回復）の手段である。不正があったことを見つけ出す発見的コントロールではない。
エ入力担当者以外の者が，毎日の送金実績を承認済みの支払申請と突き合わせ，対応する申請のない送金がないかを確認する。正解
既に行われた送金を独立した記録と照合し，不正や誤りを事後に検出する仕組みなので，発見的コントロールに該当する。検出結果に基づいて是正措置を講じることができる。
検証用の出典レビュー済み
JIS Q 27002:2024 情報セキュリティ管理策（管理策タイプ：予防・検知・是正） ／ IPA 情報処理安全確保支援士試験シラバス追補版（科目A-2）Ver.4.0 ／ システム管理基準（経済産業省）照合の根拠（1 件）
- エ（正解）: JIS Q 27002 系の管理策タイプは予防・検知・是正であり，発見的コントロールは「検知」に当たる。「抑止」は管理策タイプにない
管理策タイプ（予防，検知，是正）
IPA 情報処理安全確保支援士試験シラバス追補版（科目A-2）Ver.4.0 · 2. 情報セキュリティ管理 用語例（新しいタブで開きます）
予防的・発見的・是正的コントロールの定義を述べた読める一次資料が見つからない（JIS Q 27002 本文は有償，システム管理基準は METI で自動取得不可，IPA シラバスは管理策タイプの名称のみ）。イの解説の「抑止的」は JIS Q 27002 の管理策タイプではなく一般用語としての説明であり，「広義の予防的コントロールに含める分類もある」と補足した。sources の管理策タイプの表記を「予防・発見・是正」から JIS の「予防・検知・是正」に訂正した。独立レビュアー 3 名が正解を伏せて解答し全員エで一致，重大な指摘なし。