サンプル問題（2022年12月） 問59
事例
A社は従業員200名の通信販売業者である。一般消費者向けに生活雑貨，ギフト商品などの販売を手掛けている。取扱商品の一つである商品Zは，Z販売課が担当している。
〔Z販売課の業務〕
現在，Z販売課の要員は，商品Zについての受注管理業務及び問合せ対応業務を行っている。商品Zについての受注管理業務の手順を図1に示す。
【図1 受注管理業務の手順】
商品Zの顧客からの注文は電子メールで届く。
(1) 入力
販売担当者は，届いた注文（変更，キャンセルを含む）の内容を受注管理システム1）（以下，Jシステムという）に入力し，販売責任者2）に承認を依頼する。
(2) 承認
販売責任者は，注文の内容とJシステムへの入力結果を突き合わせて確認し，問題がなければ承認する。問題があれば差し戻す。
注1）A社情報システム部が運用している。利用者は，販売責任者，販売担当者などである。
注2）Z販売課の課長1名だけである。
〔Jシステムの操作権限〕
Z販売課では，Jシステムについて，次の利用方針を定めている。
［方針1］ ある利用者が入力した情報は，別の利用者が承認する。
［方針2］ 販売責任者は，Z販売課の全業務の情報を閲覧できる。
Jシステムでは，業務上必要な操作権限を利用者に与える機能が実装されている。
この度，商品Zの受注管理業務が受注増によって増えていることから，B社に一部を委託することにした（以下，商品Zの受注管理業務の入力作業を行うB社従業員を商品ZのB社販売担当者といい，商品ZのB社販売担当者の入力結果をチェックするB社従業員を商品ZのB社販売責任者という）。委託に当たって，Z販売課は情報システム部にJシステムに関する次の要求事項を伝えた。
［要求1］ B社が入力した場合は，A社が承認する。
［要求2］ A社の販売担当者が入力した場合は，現状どおりにA社の販売責任者が承認する。
上記を踏まえ，情報システム部は今後の各利用者に付与される操作権限を表1にまとめた。
| 利用者 | 閲覧 | 入力 | 承認 |
|---|---|---|---|
| a | ○ | ○ | |
| （省略） | ○ | ○ | |
| （省略） | ○ | ||
| （省略） | ○ | ○ |
注記 ○は，操作権限が付与されることを示す。
表1中のaに入れる適切な字句を解答群の中から選べ。
正解：ア Z販売課の販売責任者
ポイント
業務の委託に合わせて、システムの操作権限を誰にどう付けるかを判断する事例です。
考え方と解き方
図1の業務手順、方針1（入力した人と承認する人を分ける）、要求1・要求2（B 社の入力は A 社が承認する）と、表1の「承認」の列を読みます。承認の権限を B 社側に与えてしまう点と、入力と承認を同じ人にしてしまう点で間違えやすくなります。
- 方針1で、入力した情報は別の利用者が承認します。要求1では、B 社が入力した場合は A 社が承認し、要求2では、A 社の販売担当者が入力した場合は A 社の販売責任者が承認します。
- したがって、承認の権限を持つのは A 社の Z 販売課の販売責任者だけです。方針2により、販売責任者は全業務の情報を閲覧できることにも合います。
- 表1の a は、閲覧と承認が付与され、入力は付与されない利用者です。したがって、a に入れる適切な字句は ア です。
ほかの選択肢
- イ 販売担当者は入力する側で、方針1により、入力した人が承認すると分離になりません。承認は付与しません。
- ウ 要員には販売責任者と販売担当者の両方が含まれ、承認と入力の権限が同じ人に付くことになります。
- エ B 社販売責任者は B 社の入力結果をチェックしますが、要求1では承認するのは A 社です。J システム上の承認の権限は与えません。
- オ B 社販売担当者は入力する側です。承認の権限を与えると、入力と承認が同じ側に集まります。
覚えておくこと
- 入力する人と承認する人は分け、承認の権限は委託元に残す
- 操作権限は、業務に必要な範囲だけを役割ごとに付与する
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問59