情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問11

内部不正防止対策【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の目的を確認：内部不正防止に関する施策を選ぶ問題。つまり「不正をしにくく・見つけやすくする」施策を探す。
2. 各選択肢が「不正をしにくくする」か「かえって不利になる」かで評価する。
3. 「会話を制限する」「操作履歴を閲覧できないようにする」「休暇を制限する」「単独作業を制限する」を比較。
4. ガイドラインの基本原則（監査可能性、相互チェック、職務分掌の明確化）に最も合致するものを選ぶ。
5. その結果、相互チェックが働くエが最適と判断する。

選択肢別の誤答解説

• ア: システム管理者間の会話・情報交換を制限する。
  → 誤り。会話や情報共有を制限すると、業務連携や問題共有ができなくなり、ミス対応や早期発見が遅れます。むしろ適切な情報共有ルールとログ監査が必要です。
• イ: システム管理者の操作履歴を本人以外が閲覧することを制限する。
  → 誤り。操作履歴（ログ）は第三者による監査で不正発見につながる重要な証拠です。他者が監査できるようにすることが抑止力になります。もちろん個人情報やプライバシー配慮は必要ですが、閲覧を過度に制限するのは逆効果です。
• ウ: システム管理者の長期休暇取得を制限する。
  → 誤り。長期休暇を制限すると、ローテーションや監査の機会が失われます。実務では「長期の連続不在（長期休暇）を取らせない」というのではなく、むしろ交代勤務や一定期間の強制休暇（交替・強制休暇）は不正発見に有効とされています。労務上の問題にもなるため安易な制限は避けるべきです。
• エ: 夜間・休日のシステム管理者の単独作業を制限する。
  → 正しい。夜間・休日は監視体制が薄くなりがちで、不正行為や証拠改ざんのリスクが上がります。単独作業を避け、複数人での対応や承認ルール、事後レビューを義務付けることで抑止と発見が容易になります。

よくある誤解

1. 「監視＝監視カメラや常時監査だけで十分」
   → 監視は重要ですが、職務分掌（役割分け）や承認フロー、強制休暇、ローテーションなど運用面も同様に重要です。技術的監視だけでは抜け穴が残ります。
2. 「個人のプライバシー保護のためにログを誰にも見せてはいけない」
   → プライバシー配慮は必要ですが、公的な監査や業務上の第三者確認は認められるべきです。閲覧権限を適切に設け、閲覧記録を残すことでバランスを取ります。
3. 「長期休暇を禁止すれば不在中の問題は減る」
   → これは逆効果です。長期不在を理由に不正が継続されるリスクと、不正を見つける機会を失う点を理解しましょう。

補足コラム

• 夜間や休日は「オンコール（待機）複数名体制」や「二人対応ルール」を設定する。重要な操作は必ず2人以上で行う（Four-Eyes Principle：二人の目で確認する方式）。
• すべての管理操作はログに残し、定期的に別部署や第三者がレビューする。ログへのアクセスは管理者と監査担当で権限を分け、閲覧操作自体もログを取る。
• 強制休暇やジョブローテーションを制度化する。長期間同じ人だけが担当し続ける状況を避けることで、長期にわたる不正の温床を防げます。
• 労務・人権面の配慮：労働法や就業規則に準拠し、個人の権利を侵害しないように実施計画を立てること。

FAQ