情報セキュリティ
基本情報技術者試験｜J社はSSOを導入し、一度ログインすれば多数の業務システムに再認証なしでアクセスできる。共用エリアの端末で、ある…
J社はSSOを導入し、一度ログインすれば多数の業務システムに再認証なしでアクセスできる。共用エリアの端末で、ある社員がログインしたまま離席し、その間に別の者がその端末から複数の業務システムを操作する事象が起きた。SSO環境でのこの種の悪用を抑える運用上の対策として最も適切なものはどれか。
ア操作のない時間が続いたら画面を自動で施錠し、SSOのセッションも時間経過で失効させる。
イSSOから使える業務システムを絞り込み、連携先を主要なものだけに限定する。
ウログインに用いるパスワードを、より長く複雑なものへ変えるよう全社員へ促す。
エシステムごとに画面の配色やロゴを変え、今どれを操作中かを利用者が見分けやすくする。
正解
ア．操作のない時間が続いたら画面を自動で施錠し、SSOのセッションも時間経過で失効させる。
SSOではログイン状態が多数のシステムへのアクセス権を一度に意味するため、ログインしたまま放置された端末は格好の標的になる。一定時間無操作で画面を自動ロックし、SSOセッション自体もタイムアウトで失効させれば、離席中に第三者が成りすまして操作する余地を直接断てる。原因（放置されたセッション）に対応した対策である。
?選択肢ごとの解説
ア ○SSOではログイン状態が多数のシステムへのアクセス権を一度に意味するため、ログインしたまま放置された端末は格好の標的になる。一定時間無操作で画面を自動ロックし、SSOセッション自体もタイムアウトで失効させれば、離席中に第三者が成りすまして操作する余地を直接断てる。原因（放置されたセッション）に対応した対策である。
イ ×連携システム数を減らしてもSSOの利便性目的を損なううえ、残ったシステムは依然として放置端末から操作可能であり、悪用の本質を解消しない。
ウ ×パスワードの強化は他者による推測・窃取への対策であり、既にログイン済みのセッションを離席中に使われる本問の脅威には効かない。
エ ×画面配色の変更は利用者の操作ミス防止には役立つが、第三者がセッションを悪用する行為そのものを抑止しない。
情報セキュリティの他の問題
D社は、社内の複数の業務システムへ一度の認証でアクセスできるシングルサインオン（SSO）を導入する。利便性は高まる一方、認証…K社のスマートフォンアプリは、OpenID…L社は、端末内の認証器を用いるFIDOによるパスワードレス認証を全社導入した。運用開始後、端末を紛失・故障した利用者がログイ…A社では、新しい業務システムのアクセス権を利用者一人ひとりに個別に設定してきたが、利用者数が数百人規模に増え、似た職務の人に…B社では機密文書へのアクセスを役割だけで制御してきたが、同じ役割の社員でも『社内ネットワークからの接続時のみ』『勤務時間内の…C社では、利用者が必要な権限をシステム管理者へメールで直接依頼し、管理者が内容の妥当性を判断せずそのまま付与している。後日、…D社の購買システムでは、一人の担当者が取引先の登録・発注・支払承認のすべての権限を持っている。内部監査から、不正な取引先への…E社のサーバでは、一般利用者が日常作業に使うアカウントに、必要時だけ管理者権限へ昇格できる仕組みがある。診断で『一般アカウン…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0070