基本情報技術者 2012年 春期 午前（科目A） 問56

業務システムのアクセス権管理【午前解説】

正解の理由

1. 最小権限の原則（least privilege）を実現でき、利用者が業務遂行に必要な最小限の権限のみを持つように設計できるため、被害範囲を限定できます。
2. 利用者ごとに固有のIDと権限を割り当てることで、操作ログと責任の対応付け（アカウンタビリティ）が可能になり、インシデント対応や監査に強くなります。
3. 業務ごとに必要な役割は異なるため、システム毎にきめ細かい権限設計（RBACやABAC等）を行うことで分離性と運用効率を高められます。

解法ステップ

1. 業務・システムごとに必要な役割（ロール）と、その役割が必要とする最小限の権限を定義する。
2. 利用者ごとに固有のIDを割当て、IDとロールを紐づけて権限を付与する（RBACが基本）。
3. 人事情報と連携してライフサイクル（入社、異動、退職）に応じたプロビジョニング／デプロビジョニングを自動化する。
4. 定期的なアクセス権レビューとログによる監査を実施し、必要に応じて修正する。
5. シングルサインオンやフェデレーションを導入しつつ、認可はシステム毎の役割に基づいて行う。

選択肢別の誤答解説

• ア: 業務グループごとに共通の利用者IDを使用する。
  • 問題点：共通IDは誰が何を行ったかの追跡ができず、責任の所在が不明確になります。権限管理と監査性で大きく劣るため不適切です。
• イ: 年初にまとめてアクセス権限の変更を行う。
  • 問題点：人事異動や退職は随時発生するため、最小権限維持の観点からはタイムリーな変更が必要です。定期一括では過剰権限や未削除アカウントが残ります。
• ウ: 新入社員の名簿に基づいて全業務システムに全員登録する。
  • 問題点：全員を事前登録すると不要な権限や攻撃対象が増え、管理負荷やセキュリティリスクが増大します。必要時に限定して登録・付与するべきです。
• エ: 利用者の職位にかかわらず、業務システムごとに役割に応じて適切なアクセス権限の設定を行う。
  • 理由：最小権限と責任の明確化、システム固有の要件対応が可能で総合的に最も適切です。

よくある誤解

• 共通IDで管理すれば運用が楽になるという誤解：共有IDは誰が何をしたか追跡できず不正検出や責任追及が困難になります。
• 年に一度の一括変更で十分という誤解：人事異動や退職は随時発生するため、タイムラグで不要権限が残りリスクが高まります。
• 事前に全員を登録しておけば即戦力になるという誤解：不要なアカウントは攻撃対象や誤使用の原因となるため、原則として必要時に最小限登録・権限付与すべきです。

補足コラム

FAQ