ITガバナンス・内部統制・リスク評価重要度:★★★出題: AM2・PM1・PM2

予防的統制・発見的統制・是正的統制

よぼうてきとうせいはっけんてきとうせい / Preventive, Detective, and Corrective Controls

リスクに対するコントロールを、事象の発生前に防ぐ「予防的統制」、発生した異常を速やかに検知する「発見的統制」、発生後に被害を抑え復旧・再発防止する「是正的統制」に分類したものです。

3行速習ポイント

リスクに対するコントロールを、事象の発生前に防ぐ「予防的統制」、発生した異常を速やかに検知する「発見的統制」、発生後に被害を抑え復旧・再発防止する「是正的統制」に分類したものです。
単一の予防的統制だけに頼るのではなく、万一すり抜けた場合に検知・復旧できる多層的なコントロール設計が求められます。
試験対策：午後I・午後IIでコントロールの妥当性を評価する際、「事前防止策（予防）だけでなく、すり抜けた場合のログ監視・照合（発見）と回復手順（是正）が揃っているか」を着眼点にします。

図リスク事象の発生前後にわたる3段階コントロール（予防・発見・是正）の連携プロセス・手順フロー

予防・発見・是正の多層防御による残留リスクの最小化

▶ 進行順序：1. 事前防止➔2. 事後早期検知➔3. 復旧・再発防止

11. 予防的統制（Preventive Controls）

事前防止

不正・誤謬・障害の原因事象が発生する前にブロックする統制

多要素認証、アクセス権限分離、画面の入力必須・範囲チェック、本番リリース前の変更承認ゲート、プロトタイプによる事前操作性確認など。

22. 発見的統制（Detective Controls）

事後早期検知

予防をすり抜けて発生した異常・不整合を適時に検出する統制

変更管理台帳と本番変更ログの全件突合、Webサーバ内の監視対象ファイルリストと改ざん監視設定の照合、SIEMによる不審通信アラート検知など。

33. 是正的統制（Corrective Controls）

復旧・再発防止

検知された異常の影響拡大を防ぎ、正常状態への復旧と再発防止を図る統制

感染端末のネットワーク自動隔離、イミュータブルバックアップからのデータリストア、コンティンジェンシープラン発動、根本原因分析（RCA）による手順改訂など。

💡 午後I（平成31年問3等）では、テスト段階で問題が表面化した後の対症療法ではなく、計画・設計段階で講じるべき「予防的なリスク軽減策」を区別して答える力が問われます。

リスクに対するコントロールを、事象の発生前に防ぐ「予防的統制」、発生した異常を速やかに検知する「発見的統制」、発生後に被害を抑え復旧・再発防止する「是正的統制」に分類したものです。単一の予防的統制だけに頼るのではなく、万一すり抜けた場合に検知・復旧できる多層的なコントロール設計が求められます。

予防的統制（アクセス制限、入力バリデーション、事前承認、WAF/IPS遮断）による不正・誤謬の未然防止
発見的統制（ログ突合、改ざん検知、出荷指示と出荷実績の照合、棚卸）と是正的統制（バックアップ復元、フェールセーフ、再発防止策）の組み合わせ
定量的効果・監査目標例：EDI受注の事前限度額チェック（予防）に加え、出荷指示リストと出荷完了リストの日次全件自動突合（発見）を導入し、出荷漏れ・二重出荷を100%当日内に検知