基本情報技術者 2015年 秋期 午前（科目A） 問59

ソースコードのバージョン管理システムが導入された場合に、システム監査において、ソースコードの機密性のチェックポイントとして追加することが適切なものはどれか。【午前2 解説】

要点まとめ

• 結論→ソースコードの機密性を守るには、バージョン管理システムのアクセスコントロール設定が適切かどうかを重点的に確認することが必須です。
• 根拠→アクセスコントロールは「誰が」「どのリポジトリ／ブランチに」「どの操作をできるか」を直接制御し、不正閲覧や漏えいを防ぐ第一の防御層になります。
• 差がつくポイント→最小権限の付与、ブランチ保護、認証（MFA/SSO）、鍵／トークン管理、ログと定期的なアクセスレビューを組み合わせて検証してください。

正解の理由

よくある誤解

• 「承認（レビュー）済み＝機密が守られている」
  承認は変更管理や整合性（Integrity）に関係しますが、承認プロセス自体は機密性を保証しません。承認されても閲覧権限が広ければ漏えいリスクは残ります。
• 「コストや導入者が安全性に直結する」
  導入コストや選定者の所属（開発部門等）はガバナンスや運用の問題であり、機密性の技術的チェックポイントではありません。
• 「アクセス制御はパスワードだけ」
  認証方式（MFA/SSO）、鍵・トークン管理、API権限や外部サービス連携まで含めて評価する必要があります。

解法ステップ

1. 設問の条件（監査対象が「ソースコードの機密性」）を確認する。
2. 各選択肢が「機密性」に直接影響するかを切り分ける（機密性／完全性／可用性／ガバナンスの観点）。
3. 「アクセスできる範囲」を制御する選択肢を選ぶ。機密性は「誰が見られるか」が本質なのでアクセス制御を選ぶ。
4. 迷ったらキーワードで判定：「アクセス」「権限」「閲覧」「漏えい」は機密性を示す合図です。

選択肢別の誤答解説

• ア: バージョン管理システムに登録したソースコードの変更結果を責任者が承認していること
  → 変更承認は変更管理・責任追跡（整合性・説明責任）に関する項目であり、機密性チェックポイントとして直接的ではありません。
• イ: バージョン管理システムのアクセスコントロールの設定が適切であること
  → 正解。誰がいつどのリポジトリ／ブランチを閲覧・取得できるかを制御する点が機密性に直結します。
• ウ: バージョン管理システムの導入コストが適正な水準にあること
  → 導入コストは経営判断や予算管理の観点であって、監査で確認すべき機密性の技術的チェックポイントではありません。
• エ: バージョン管理システムを開発部門が選定していること
  → 選定主体はガバナンスや利便性の問題であり、機密性そのものの評価項目ではありません。利害や偏りの検討は別途行うべきですが、機密性チェックとは直接無関係です。

補足コラム

• 認証方式：SSO導入、MFA有無、パスワードポリシーの確認。
• 権限管理：リポジトリ／組織単位のロール設定、最小権限原則に基づく割当。
• ブランチ保護：保護されたブランチ、強制レビュールール、マージ制限の設定。
• 鍵・トークン管理：SSHキーの登録状況、個人トークンの有効期限やスコープ。
• ログ・監査証跡：アクセスログ、クローン／ダウンロード履歴、管理者操作ログの保存と閲覧可能性。
• 外部連携：CI/CDやパッケージレジストリとの連携設定、サードパーティの権限確認。
• リポジトリの可視化範囲：公開／非公開設定、フォークやミラーリングの制御。
  監査証拠としては、設定画面のスクリーンショット、権限一覧、ログ抽出結果、アクセスレビュー記録が有効です。

• テストアカウントで「閲覧のみ」「書込み不可」を試し、想定どおり分離されているか確認します。
• 管理側の監査ログに不審なIPや異常なクローン回数がないかログ集計を行います。

FAQ