平成21年度 秋期 午前 問43
セキュリティ
更新権限に関する問題
利用者情報を管理するデータベース（利用者データベース）がある。利用者データベースを検索し，検索結果を表示するアプリケーションに与えるデータベースのアクセス権限として，セキュリティ管理上適切なものはどれか。ここで，権限の範囲は次のとおりとする。
〔権限の範囲〕 参照権限 ： 利用者データベースのレコードの参照が可能 更新権限 ： 利用者データベースへのレコードの登録，変更，削除が可能 管理者権限：利用者データベースのテーブルの参照，登録，変更，削除が可能
- ア管理者権限
- イ更新権限
- ウ参照権限
- エ参照権限と更新権限
答えと解説を見る
✓ これが正解ウ参照権限
解説
読むだけの参照権限で足ります。
設問のアプリケーションがすることは、検索することと結果を表示することの二つです。どちらも読む動作なので、軸は、この仕組みが書き込む必要を持っているかという一点になります。答えは持っていない、です。さらに設問はセキュリティ管理上という条件を足しています。ですから足りるかどうかだけでなく、余分に与えたときに何が起きるかまで見ることになります。仕組みに欠陥があって外から突かれたとき、及ぶ範囲はその仕組みに与えた範囲までです。読むだけであれば、書き換えも消去も届きません。与えるのは参照権限だけ、という結論はここから出ます。
ほかの選択肢はなぜ違うのか
- ア管理者権限：管理者権限は、レコードよりも広く、表そのものを作り替えたり消したりできる範囲です。検索して表示する用途には広すぎるうえ、事故が起きたときに失われるものが最も大きくなります。
- イ更新権限：更新権限は、レコードを登録し、書き換え、消すことができる範囲です。設問のアプリケーションはそのどれも行わないため、与えても使われないまま危険だけが残ります。
- エ参照権限と更新権限：二つを合わせる形です。多く持たせるほど安全になりそうに見えますが、逆になります。書き込める範囲が付く分だけ、外から突かれたときに書き換えや消去まで及びます。
この問題の用語
- データベースたくさんのデータを決まった形で貯め、探したり書き換えたりできるようにした仕組み。多くの人が同時に使うことを前提にしています。
- アクセス権限「アクセス権」と同じ意味です。参照だけができる許可と、書き換えもできる許可のように、種類に分けて示すときによく使われる言い方です。
出典：平成21年度 秋期 基本情報技術者試験 午前 問43（改変：原典の図表をテキストに書き起こした）
同じ用語が出る問題
- 平成30年度 春期 午前 問43（アクセス権限）
- 平成30年度 春期 午前 問27（アクセス権限）
- 平成24年度 春期 午前 問56（アクセス権限）
- 平成23年度 秋期 午前 問60：発見統制に該当するもの（アクセス権限）
- 平成22年度 春期 午前 問32（アクセス権限）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）