① 「標準的な統制」 ： インフラ管理統制に於ける基礎的な制約条件
１．リスクの認識
・ OSのユーザIDを通常業務で使用するのは、
① 本番プログラム登録、
② 臨時ジョブの手動キック、
③ データ直接修正
の内のいづれかで実施される事、使用頻度、ユーザ数が把握されている。
２．OSのユーザID一覧リスト
・ OSのユーザID一覧がシステムから出力できる。
・ 付帯情報として、最終更新日、利用者、権限内容が分かる。
３．OSのプログラム・パラメータの変更履歴
① システムから出力されたOSへの変更履歴ログ、
② 手作成のOSへの変更履歴、
③ 最終更新日の分かるOSモジュールの一覧、
④ 最終更新日の分かるシステムパラメータの一覧 のどれを取得可能か。
② 「標準的な統制」 ： ユーザー権限管理の統制活動
１．OSユーザの改廃手続
・ OSレベルのユーザIDの付与、変更、削除に際しては、所定の事前承認の手続が存在する。
２．OSユーザの利用制限（職務分掌）
・ OSのオールマイティユーザのIDは、
職務上必要な者のみに付与されており、一時的な使用者に対しては所定の貸出手続が存在する。
３．セキュリティ管理ソフトへのアクセス制限（職務分掌）
・ セキュリティ管理ソフトを使用し、本番データに対してOSレベルのアクセス制御を行っている場合、
そのセキュリティ設定値の変更ができるのは、職務上必要な担当者のみに制限されている。
４．アクセスログのモニタリング
・ OSレベルでのアクセスログが取得され、
セキュリティ違反など異常な操作がなかったかどうかが定期的に第三者によりモニタリングされている。
③ 「標準的な統制」 ： 大規模変更 (CPU リプレイス等）
１．変更案件の事前承認
・ インフラ変更案件（OS、ミドルウエアのバージョンアップやパッチ適用、
ハードウエアの更新など）に際しては、変更の目的、内容が文書化され、事前に承認される手続がある。
２．動作確認テストの承認
・ インフラ変更に際しては、事前に動作確認テストが実施され、テスト結果の事前承認の手続がある。
３．移行計画への承認
・ インフラ変更の本番移行計画が文書化され、本番移行の事前に審査、承認される手続がある。
４．変更案件の事後承認
・ インフラ変更の本番移行結果が事後的に承認される手続きがある。
④ 「標準的な統制」 ： 小規模変更
１．小規模変更の変更管理
・ コンフィグレーション定義やパラメータ設定値の変更など、
小規模なシステム変更に対して、変更の目的と内容が文書化され、承認される手続がある。
⑤ 「インフラ管理に於けるリスク」 ： 統制が効かない場合に於いて以下のリスクがある
１．権限管理
・ 不正にOSレベルの高権限な操作ができる
・ 不正にOSレベルのセキュリティ設定を変更できる
２．変更管理
・ 未承認のインフラ変更が行われる
・ インフラ変更の不具合で上位アプリが使用できなくなる