基本情報技術者 2009年 春期 午前（科目A） 問80

不正アクセス対策基準の組織対策【午前解説】

正解の理由

解法ステップ

1. 問題文のキーワード（基準、適合、セキュリティ方針、研修）を把握する。
2. コンピュータ不正アクセス対策基準の主要要件（最小特権、利用者識別、監査ログ、教育）と照合する。
3. 各選択肢が要件を満たすかを「責任の明確さ」「識別と追跡」「アクセス制御」「組織的対策（文書化・教育）」の観点で評価する。
4. 最も基準に合致する選択肢を選ぶ（文書化＋研修は組織的対策を直接満たすため正解）。

選択肢別の誤答解説

• ア: 監視効率を向上させるためにすべてのネットワークを相互接続する。
  • 誤り。ネットワーク相互接続は攻撃面を広げ、セグメント分離による被害限定や境界制御ができなくなり、基準の防御層を損ないます。監視は適切なゾーニングとログ統合で行うべきです。
• イ: 業務上必要な場合は、利用者IDを個人間で共有して使用できる。
  • 誤り。ID共有は誰が行ったか追跡できず、責任の所在が不明になり基準の「利用者識別と追跡」に反します。共有よりも役割ベースのアクセス制御(RBAC)やグループ権限の利用が適切です。
• ウ: システム管理者が、すべての権限をもつ利用者IDを常に使用できる。
  • 誤り。最小特権原則や分離職務の観点から、管理者も通常権限で作業し、必要時のみ昇格して操作する（特権の付与・記録）が求められます。常時の全権限使用はログの有効性と監査性を低下させます。
• エ: 組織のセキュリティ方針を文書化し、定期的に研修を開催する。
  • 正解。基準が求める組織的対策（方針の明確化、教育・訓練）を満たし、責任と手順の周知で不正アクセスの予防と対応力向上につながります。

よくある誤解

• 「管理者が常に全権限IDを使えば迅速に対応できる」は誤りで、最小特権原則に反し、責任追跡性が損なわれます。
• 「利用者IDの共有は業務上便利だから認められる」は誤解で、トレーサビリティ（誰が何をしたか）を失うため禁止または厳格管理が必要です。
• 「すべてのネットワークを相互接続すれば監視効率が上がる」は短絡的で、セグメント分離による防御（境界防御）が損なわれます。

補足コラム

• 文書化すべき具体項目例：アクセス権付与・変更手順、管理者権限の使い方、ID管理方針、監査ログの保持期間、インシデント報告手順。
• 研修の実施例：新規採用時の初回教育、年1回以上の定期研修、権限変更やシステム導入時の追加教育。研修記録は監査の証跡になります。
• 技術対策と組織対策は両輪：ファイアウォールやIDS/IPSなどの技術的対策だけでなく、方針・手順・教育がなければ運用時に効果を発揮しません。

FAQ