情報セキュリティ
基本情報技術者試験｜H社はシステム保守を外部委託しており、委託先の技術者に自社サーバへの保守用アカウントを発行している。委託先では誰…
H社はシステム保守を外部委託しており、委託先の技術者に自社サーバへの保守用アカウントを発行している。委託先では誰がそのアカウントを使うか流動的で、H社は委託先側の担当者の入退社を把握していない。委託先アカウントを安全に管理する対策として、最も適切なものはどれか。
ア委託先へまとめて一つのアカウントを渡し、社内で誰に使わせるかは委託先の裁量に任せる。
イ作業が止まらないよう、委託先アカウントへ保守に必要な範囲を超える権限まで含めて与えておく。
ウ委託先アカウントのパスワードはH社が一度設定したら、変更せず長期間そのまま使い続ける。
エ実際に作業する技術者をH社へ個別に申請させて発行し、その作業期間に限って権限を有効にする。
正解
エ．実際に作業する技術者をH社へ個別に申請させて発行し、その作業期間に限って権限を有効にする。
問題は『委託先で誰が使うか流動的で、H社が把握・統制できていない』点にある。実際に作業する技術者を個別に申請させて個人単位でアカウントを発行し、作業期間に限定して権限を有効化すれば、誰がいつ作業したかを追跡でき、不要な期間の権限を残さず最小権限も守れる。
?選択肢ごとの解説
ア ×委託先裁量の単一アカウントは誰が操作したか追跡できず、委託先の人員変動をH社が把握できないまま不正利用の温床になる。
イ ×必要範囲を超える権限の付与は最小権限に反し、委託先からの情報漏えいや不正操作の被害範囲を不必要に広げる。
ウ ×パスワードを長期間変更しない運用は、委託先の退職者が知り得た情報で後からアクセスできる危険を残す。
エ ○問題は『委託先で誰が使うか流動的で、H社が把握・統制できていない』点にある。実際に作業する技術者を個別に申請させて個人単位でアカウントを発行し、作業期間に限定して権限を有効化すれば、誰がいつ作業したかを追跡でき、不要な期間の権限を残さず最小権限も守れる。
情報セキュリティの他の問題
I社では、従業員の退職手続でアカウントの無効化を情報システム部門へ依頼しているが、依頼が人事から届くのは退職日の数日後で、そ…J社では、社員が部署を異動した際、異動先で必要な権限は新たに付与されるが、異動元で使っていた権限は削除されずに積み重なってい…K社では複数部署が参加する新製品プロジェクトを進めており、参加者全員が共有フォルダ内のすべての資料を閲覧できるよう設定してい…L社では、繁忙期に応援要員へ基幹システムの一時的な操作権限を付与している。しかし繁忙期が終わっても権限を取り消す手続が個別の…C社では、退職予定者や異動者のアカウント権限の見直しが滞り、業務上不要になった共有フォルダへのアクセス権が残り続けている。情…A社では、新しい業務システムのアクセス権を利用者一人ひとりに個別に設定してきたが、利用者数が数百人規模に増え、似た職務の人に…B社では機密文書へのアクセスを役割だけで制御してきたが、同じ役割の社員でも『社内ネットワークからの接続時のみ』『勤務時間内の…C社では、利用者が必要な権限をシステム管理者へメールで直接依頼し、管理者が内容の妥当性を判断せずそのまま付与している。後日、…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0080