人生を楽しむエイチマンのブログ

トライアンドエラーそしてサクセス

USCPA BEC4 IT 学習メモ

学習メモを貼り付けるだけになってしまっている…。

時間の使い方を工夫しよう!

本日分はこちらです。

 

BEC4 情報技術IT

情報システム概論

情報システムの3つの要素 input⇒processing⇒output

業務をデータの流れに注目して視覚的に表した図⇒data flow diagramデータフローダイアグラム

各部門のデータを一元化管理するdata ware-house データウェアハウス

 

財務会計と監査における情報システム

情報システムは業務の効率化に寄与するが、監査の観点からするとシステムは紙の証跡よりも監査証跡audit trailの追跡が難しくなる場合がある。

 

Web Trust…インターネット事業者が国際的な電子商取引保証基準に基づいた電子商取引を行っているかを審査

AICPACISA共同開発

Sys Trust…システムの信頼性をテストし証明するサービス

 

情報システムの内部統制に与える影響

・紙媒体の監査証跡が大幅に減少し、監査証拠は減少するが、証跡は変更される

clerical error事務的なミスを減らすことができる。プログラミングエラーが発生すると全ての取引処理に誤りが発生する。

・職務の分離segregation of dutiesの概念が適用されなくなる。

unauthorized accessfraudの可能性がある。

・経営者にとってreviewsupervisionがしやすくなる。

 

人口知能 Artificial Intelligence

expert system…専門家がもつ知識をベースに構築。

Case-based reasoning…事例に基づき推論

neutral network…脳の処理傾向を模倣するハードウェア

fuzzy logic…幅の広い人間的な論理判断

 

情報システムの種類

transaction processing system; TPS 日常業務を処理し記録する最も多く使われる運用レベルのシステム

knowledge work system; KWS office system業務処理を支援するシステム(運用レベル)

management information system; MIS 管理者レベルが日常業務の情報から計画・管理を行うシステム 運用レベルのシステムに入力された情報から日常業務の単純なサマリーを吐き出す

decision-support system; DSS 社内外の情報を分析することでトップマネジメントの意思決定を支援するシステム個々の問題解決もサポートする。interactive双方向に利用できる

executive support system; ESS 経営戦略を決定する為に様々な情報を多角的に検証するシステム

 

ハードウェアの基本構成

ハードウェアは5つの基本構成に分類

arithmetic-logic unit

control unit

storage device(primary storage, secondary storage)

~②あるいは③でcontrol process unit; CPUという intelの四角いチップみたいなやつ

input device…キーボート等

output device…プリンターやモニター等

 

ハードウェア-中央処理装置と主記憶装置

データやプログラムを処理中に一時的に記憶しておく場所をRandom Access Memory; RAMという。

Primary storageからデータをCPUに転送されるまでの時間をaccess timeという。

 

ハードウェア-補助記憶装置secondary divice、入力装置input device、出力装置output device

補助記憶装置secondary storage

magnetic disk(hard disk, floppy disk)②optical disk(CD-R, DVD-R)③magnetic tape④RAID⑤Zip⑥magneto-optical disk⑦flash memory(USB memory)

 

automation of data collection 入力時に機械が自動的にデータを読み取り入力することで正確なデータインプットができるもの(POSシステム等)

 

input device パソコン、プリンター output deviceディスプレイ、モニタ、プリンタ

 

バッチ処理とオンラインリアルタイム処理

batch processing

性質を同じくする取引等を一つのグループとして一括処理すること システムに対して実行する処理(job)の名前、および使用する装置などを伝える言語のことをジョブ制御言語job control languageという。監査証拠を得やすい

 

online real-time processing

各端末からデータが発生するつど直接データを入力し、即座に処理される。master fileは常に更新されている。

 

ソフトウェア(system software)

 

instruction(命令)

instruction(命令)

instruction(命令)

program programを書きコード化することをプログラミングという。

 

ソフトウェアは2種類に分かれる①system softwareWindows,iOS)②application software(ワード、エクセル等)

 

system softwareoperating systemlanguage processorに分かれる

operating systemは大量のデータを速く処理する必要があるので下記の機能がある。

multiprogramming 一つの処理装置で複数のプログラムを走らせ、見かけ上は同時に複数のプログラムが実行されているようにする方式(ワード、エクセルが同時に立ち上がっている)

multiprocessing 一つのOSのもとで複数のCPUが稼動するシステム

virtual storage 補助記憶装置を用いてあたかも主記憶装置がもつ容量以上の記憶空間をつくる技術

上記はCPUの基本機能

 

OSに関わる統制 バージョンの更新は大きなリスクが伴う為、保護された領域sandboxで行う、backoutの実行や夜間の更新が望ましい

 

言語プロセッサ(language processor

人間寄りの機械言語をコンピュータが実行できる機械言語に翻訳するシステムソフトウェア

一括して処理するのをcompiler, 書きながら1個ずつチェックしていくのをinterpreterという。

 

エミュレーション(模倣)

A機種と同じデータをB機種でも実行できるエミュレーター

 

ソフトウェア-アプリケーションソフトウェア

low-level languagehigh-level languageに分かれる

low-level languagemachine language;00110101, assembly language;F94018B

high-level language (procedural language: dsply”hello”, nonprocedural languages:”CREATE OR REPLACE”)

 

Enterprise resources plannnig; ERP 物流~販売までを一元管理するアプリケーションソフトウェア

 

Customer Relationship Management; CRM 情報システムの応用により、商品を提供する企業がその顧客と長期的かつ継続的な信頼関係を築く経営手法

 

XBRL 拡張可能な事業報告言語 財務諸表などのビジネスレポートを電子化して、ビジネスレポートの作成の効率化、比較・分析などの二次利用ができることを目的とした言語

 

ネットワークについて

ネットワークとは複数のコンピュータや端末を通信回線によって接続し、相互に情報を交換するシステム

protocol ネットワークを介してコンピュータ同士が通信を行う上で相互に決められたルールの集合体

 

ネットワークの接続形態

bus network コンピュータシステムの機器間でデータや信号を伝送する共通回路 端末が集中していると◎

star network 中央にあるホストコンピュータを経由してデータ伝送が行われる。銀行ATM等。新たにネットワークを追加しても他に影響を与えずに追加できる一方、ホストがダウンすると全滅する。

ring network それぞれのコンピュータが小さなサーバーの役割をし、データをぐるぐる回す

complete mesh network とにかく全てと繋がっているが、設置・保守コストが高い

 

ネットワークを構成する一つ一つの要素をnodeノードという。 

 

ネットワーク-対象地域

personal area network; PAN 個人レベルの領域

local area network; LAN 一つまたは複数の建物を範囲とした電気通信網

metropolitan area network; MAN 同一都市内の近接オフィス数箇所をグループ化したもの

wide area network; WAN 国や大陸全体などの大規模な領域

 

gateway インターネットとLANを繋ぐ窓口

router LANMAN同士を繋ぐ

 

ネットワーク-サービスによる分類

value-added networks;VANs 第三者の事業者が提供する私設ネットワーク(インターネット的なもの)

PBX 構内交換機

virtual private net work; VPN 通信内容の暗号化などを利用して、公衆回線をあたかも専用線のように利用する技術。

 

ネットワーク-処理

centralized processing 集中処理 ホストコンピュータで全部処理する

distributed processing 分散処理 ホストコンピュータの1段下のミニコンピュータ達で処理する

 

ネットワーク-インターネットとWEBインフラストラクチャー

電子メール(E-mail)電子商取引(electronic commerceWWWworld wide web

 

TCP/IPTransmission control protocol/ Internet protocol

インターネット上における事実上のプロトコル標準(通信の約束事)

 

portal;portal site サイト上に検索エンジン等の機能を載せて広告収入などを得るサイト yahoo,AOL

 

ネットワーク- その他の用語

cookie

End User Computing; EUC 情報システム部門以外の利用部門の者が主体的に直接コンピュータを操作し、情報を検索したり、加工したりすること

 

データベース-データ階層

複数のユーザによって共有されるデータの集合

database⇒file⇒record⇒field⇒byte⇒bit

レコードには検索やソートするために特定のフィールド、key fieldが含まれている

 

データベース-従来のファイル処理システムにおけるデータ管理

data redundancy 複数のデータファイルにちょっと違う同じデータが存在する事

 

データベースについて

database コンピュータに接続されたファイルに大量のデータ等を蓄積し、条件を満たすデータを検索や抽出ができるシステム

 

かつてはプログラムのデータをまとめるdatabase management system; DBMSがなかった。

Data dictionaryによってデータ項目の名称を管理している。

 

データベース データベース管理システム

database management system; DBMSlogical viewを提供してる為、様々な利用者がデータを参照できるようになった。DBMSの重要な機能の一つにexclusive control排他的処理制御があり、同時にアクセスはできるが処理はできないようになっている。

 

システム開発(組織の問題や機会に対してソフトウェア・アプリケーションを構築)

systems development

application development

 

システム分析(system analysis)⇒システム設計(system design)⇒プログラミング(programming)⇒テスト(testing)⇒変換(conversion)⇒操業・維持(production and maintenance

 

システム開発ライフサイクル(SDLC)アプローチ System Development Life Cycle Approach

順を追って構築を進める手法だが、近年ではエンドユーザーが開発の初期段階から最後まで関わっている。

システムアナリストが設計し、構築していくが、プログラミングはプログラマーが行う

 

feasibility study

requirements definition ※ユーザーを積極的に関与させることが重要

system design/ selection

development/ configuration ※testing必須 システム機能全体を評価していく

implementation

旧システムから新システムに移行させることをcut overという。以下、cut overの技法

parallel strategy 新システムと旧システムを両方とも稼動させておく

direct cut over/plunge implementation 特定の日に完全移行させる

pilot/prototype approach 一定の期間テスト版を稼動させる

phase approach 影響の少ない部門から順番に導入していく手法

 

post-implementation

documentation

 

高速アプリケーション開発技法 Rapid Application Development; RAD

SDLCの順番に作業を進めていく方法とは反対に各モジュールごとに開発・構築を進めるより迅速なシステム開発の手法。以下、方法論。

prototyping 試作品構築のプロセスを何度も繰り返す

agile development 

object-oriented development

computer-aided software engineering; CASE HTML⇒ホームページビルダーのように段階的な手順の自動化をする

 

電子商取引

種類:B2C.B2B,C2C(C2Bは現状無い)

 

電子データ交換 Electronic Data Interchange; EDI

紙ベースで商取引を行わず、VAN等を使用し、システム上で商取引を行う。

 

メリット:時間・コストの削減、入力エラーの減少

デメリット:機密性が失われる可能性、不正アクセスの発生、VAN業者等第三者への依存

電子資金移動(electronic fund transfer; ETF)金融機関における、金銭及び財務データの転送。

電子マネー(electronic money)貨幣価値をデジタルデータで表現したもの。EDIの決済手段。

販売時点管理システム(Point of sales; POS)端末から情報を拾い、中央コンピュータへ送信するシステム

 

情報システムに係る統制

ITコントロールの分類

General control(一般統制)組織全体の情報処理統制

Application control(アプリケーション統制)入力・処理・出力等、アプリケーションの特定の機能に関する統制

 

Governance control(ガバナンス統制)機関設計などによる監視的な性質をもつ統制

Management control(マネジメント統制)資産・データ・組織構造・物理的統制の運用リスク軽減の統制

Technical control(技術的統制)開発等のコントロールが含まれる

 

Preventive control(予防的統制)ファイアーウォールやパスワードの利用

Detective control(発見的統制)エラーレポートのレビュー

Corrective control(是正的統制)エラー修正、アクセスログ、業務継続計画

 

COBITControl Objectives for Information and related Technology

ITガバナンスのフレームワーク 以下5つの要素

Strategic alignment(戦略との整合)ビジネス計画とIT計画との整合

Value delivery(価値の提供)ITの本質的な価値で期待される便益をの創出を目指す

Risk management(リスク管理)組織体に組み込んだリスクの認識

Resource management(資源の管理)IT資源に対する投資の最適化と適切な管理

Performance measurement(成果の測定)ITの状況のモニタリング

 

COBITのフレームワークは経営者、IT利用者、及び監査任等のITの統制に責任を負う主たる対象者としている

 

全般的統制(1) アクセス統制

physical controls(物理的統制)建物内への侵入を防ぐ

logical controls(論理的統制)システムへの侵入回避に対する統制

password, automatic logoff, biometrics authentication,access log

access to computer files(コンピュータファイルへのアクセス統制)誤削除への統制 file protection ring

 

全般的統制(2) データ送受信統制

ネットワークに対するセキュリティ

firewall 組織体内部のネットワークと外部ネットワークを遮断するシステム

Intrusion Detection System; IDS ネットワークの監視システム

 

暗号化(encryption

secret key cryptosystem 同一の鍵を使用

public key cryptosystem 公開鍵と秘密鍵の2つの鍵 

digital signature オリジナルのメッセージが改竄されることを防ぐ 真正性の証明

 

全般統制(3) リカバリー体制

business continuity planning; BCP

contingency planning; CP

 

一連の流れ

ビジネスインパクト分析※⇒復旧戦略の立案⇒不測事態対応計画の策定⇒テストと維持

 

※①重要業務の特定②優先順位付け③目標復旧時間と目標復旧ポイント

 

hot site 障害発生時、設備+場所が別にあり、瞬時に業務が再開できる体制

cold site 場所だけしか確保していないので設備を運び込む必要あり

 

データの保存と廃棄に関わるセキュリティ

grandfather-father-son method 4世代目は削除していくデータ保存の手法

cloud computing 機密性の高いデータは通信上は平文の為、セキュリティリスクがある。

 

アプリケーション統制

・入力(input)の有効性の統制

check digit 下一桁に誤った数値が入っていないか確かめる機能

limit check 予め設定された数値の範囲内でしか入力ができない

field check 不適切なキャラクターのものはタイプできない統制方法

missing data check ブランクのままだとエラーが表示される

 

・処理(processing)の有効性の統制

control total 合計して意味のある数字を合計してチェックする

hash total 処理したレコード数をカウントする機能

 

・出力統制

出力帳票の配布記録

エラーレポート

 

情報セキュリティ

以下の3つの要素を維持することを考慮に入れる

Confidentiality 権限を持つものと持たないものを明確に分けることで情報の漏洩を防ぐ

Integrity 情報の改竄がない整合性の取れた正確な状態

Availability アクセス権限を持つものが必要な時にいつでもアクセスできること

 

情報資産への脅威(threats to information assets)及び脆弱性(weakness

malicious software

cracker 要するにハッカー

social engineering 権限のある利用者などからパスワードなどの重要情報を入手する事

computer virus vaccine programで対策できるが新しいウイルスには効果が無い

Denial of Service Attack; DOS Attack t通信量を増大させ、システムをダウンさせる

piggybacking wifiの無断接続、偽物のソフトウェア

 

セキュリティ方針(security policies

 

情報システムに係わるリスク管理プロセス

以下の手順

情報資源、資産の識別と分類⇒脅威・脆弱性・影響度発生度の評価⇒リスクの識別⇒コントロールによるリスクの軽減⇒残余リスクの受け入れ

 

職務の分離

一般的な内部統制におけるsegregation of dutyと情報処理部門内でのそれとは異なる。

 

・情報処理部門と利用部門は別々に独立してないといけない

・情報処理部門内ではprogramming,operations,libraryの分離が必要 利用部門はABC

 

application programmers プログラムを書く人

application system analysts システム設計の為、ユーザーニーズの聞き出しや仕様書の作成を行う

 

operating systems programmer OSのパラメータの変更

operating systems analysts OSをよりよくする為の改善