平成29年度 春期 午前 問36
システム監査・内部統制
特権的アクセス権に関する問題
特権ID（システムの設定，データの操作，それらの権限の設定が可能なID）の不正使用を発見するコントロールとして，最も有効なものはどれか。
- ア特権IDの貸出し及び返却の管理簿と，特権IDの利用ログを照合する。
- イ特権IDの使用を許可された者も，通常の操作では一般利用者IDを使用する。
- ウ特権IDの使用を必要とする者は，使用の都度，特権IDの貸出しを受ける。
- エ特権IDの設定内容や使用範囲を，用途に応じて細分化する。
答えと解説を見る
✓ これが正解ア特権IDの貸出し及び返却の管理簿と，特権IDの利用ログを照合する。
解説
貸出しの記録と利用ログの照合で不正な使用に気づけます。
特権IDは、システムの設定やデータの操作、さらに権限の設定まで行える強いIDです。この設問が問うているのは、不正な使用を未然に防ぐ手立てではなく、起きてしまった不正な使用を見つけ出す手立てのほうです。貸出しと返却を記した管理簿は、いつ誰に使用が認められたかを示す記録です。一方、特権IDの利用ログには、実際にいつ使われたかが残ります。この二つを突き合わせれば、貸し出していない時間帯の使用や、返却した後の使用のように、認められた範囲の外での使用が浮かび上がります。認めた記録と実際の記録を照らし合わせることが、発見の手立てとして働くわけです。こうした強い権限の扱いは、特権的アクセス権の管理という考え方に当たります。
ほかの選択肢はなぜ違うのか
- イ特権IDの使用を許可された者も，通常の操…：通常の操作では一般利用者IDを使うという運用を挙げる内容です。強い権限を使う場面そのものを減らす備えであって、すでに行われた不正な使用に気づかせる働きはありません。
- ウ特権IDの使用を必要とする者は，使用の都…：使用のたびに貸出しを受けるという手続を挙げる内容です。使う人と場面を絞り込む備えではありますが、手続を定めるだけでは、認められていない使用が行われたことを検出できません。
- エ特権IDの設定内容や使用範囲を，用途に応…：設定内容や使用範囲を用途ごとに細かく分けるという内容です。一つのIDでできることを狭めて被害の広がりを抑える備えであり、行われた使用を後から洗い出す働きとは別のものです。
この問題の用語
- 特権的アクセス権設定の変更や、他人の権限の付け外しまでできる強い権限。持つ人をできるだけ絞ることが、対策の出発点になります。
- アカウント管理利用者IDの発行から削除までを、申請に基づいて記録し保つ仕事です。申請漏れや反映漏れを見つけるため、定期的な突合せを行います。
- ログ管理ログを取るだけでなく、定期的に確認して異常に気づくまでを含む運用です。不正を事前に止める仕組みではなく、事後に調べるための備えです。
- 特権IDシステムの設定やデータの操作、権限の設定までできる強いIDです。貸出しと返却の管理簿を利用ログと照合すると、不正な使用に気づけます。
- 権限そのアカウントに許された操作の範囲のことです。用途ごとに必要なものだけを与え、定義用と更新用のように分けて持たせます。
- コントロール目的どおりに業務が進むように組み込む、決まりや点検、仕組みのことです。監査では、その整備と運用の状況が評価されます。
- ログいつ誰が何をしたかを、機器やソフトウェアが自動で残していく記録です。あとから出来事をたどれるので、事故の調査や不正の発見に使われます。
- 利用者IDシステムが利用者を見分けるための名前。パスワードと組にして本人確認に使い、記録を誰の操作かに結び付けます。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問36
同じ用語が出る問題
- 令和8年度 科目A 問6：アクセス制御に関する問題（特権的アクセス権）
- 令和5年度 科目A 問2：入退室管理に関する問題（コントロール）
- 科目A・B サンプル問題 科目A 問43：監査ログを取得する目的（ログ管理）
- 平成29年度 春期 午前 問14：内部不正に関する問題（ログ管理）
- 平成28年度 秋期 午前 問7：利用者IDに関する問題（アカウント管理）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）