基本情報技術者 2012年 秋期 午前（科目A） 問57

要点まとめ

• 結論: 正解はイ。バージョン管理システムのアクセスコントロールが適切であることが機密性を直接担保します（最小権限と認証・認可で不正閲覧や持ち出しを防止）。
• 根拠: 機密性は「誰が何にアクセスできるか」で決まり、アクセス制御・認証・監査ログが揃って初めて効果を発揮します。
• 差がつくポイント: 設定の粒度、ロールベース／ACL、多要素認証、監査ログ保存と定期レビュー、リポジトリ暗号化の有無まで確認することが重要です。

正解の理由

よくある誤解

• 承認プロセス（ア）があれば機密性は担保される：承認は変更管理や責任追跡に有効ですが、閲覧制限やリポジトリへのアクセス制御とは別の問題です。
• コストの適正（ウ）や選定主体（エ）がセキュリティの主要評価基準になる：導入コストや選定者は管理上の要因であり、機密性評価の直接指標ではありません。
• 単に認証があるだけで十分と考える誤り：認証だけではなく、細かい権限設定（最小権限）、ログ、認可、MFAなど複合的な対策が必要です。

解法ステップ

1. 問題文の目的を確認：機密性（Confidentiality）のチェックポイントを問うている。
2. 各選択肢が「機密性」に直接寄与するかを検討する。
3. 「誰がアクセスできるか」を制御する仕組みが最も直接的であることを重視する。
4. 最も該当する選択肢（アクセスコントロール）が正解であると判断する。

選択肢別の誤答解説

• ア: バージョン管理システムに登録した変更結果を責任者が承認していること
  • 誤り。承認は変更の正当性や責任の明確化に寄与するが、閲覧・複製など機密性の一次的制御にはならない。
• イ: バージョン管理システムのアクセスコントロールの設定が適切であること
  • 正解。誰がどのリポジトリやブランチにアクセスできるかの制御は機密性確保の核心であり、監査項目として妥当である。
• ウ: バージョン管理システムの導入コストが適正な水準にあること
  • 誤り。コストは導入判断の経済的側面であり、機密性の技術的・運用的評価とは性質が異なる。
• エ: バージョン管理システムを開発部門が選定していること
  • 誤り。選定主体はガバナンスや利便性に関係するが、機密性の担保自体を示すものではない。

補足コラム

• リポジトリ／プロジェクト単位の権限設定（読み取り・書き込み・管理者）と最小権限の適用状況。
• 多要素認証（MFA）やSSOとの連携状況。
• 管理者権限の分離と特権アカウント管理。
• ブランチ保護ルール（マージ制御、コードレビュー必須設定）。
• アクセスログ、操作ログの取得・保管期間・改ざん防止（タイムスタンプ・外部ログ保存）。
• リモートアクセス時の安全なプロトコル（SSH/HTTPS、証明書管理）と通信の機密化。
• ソース内の機密情報（APIキー等）検出・管理手順と秘密情報の暗号化・監視。

FAQ