情報セキュリティマネジメント 2016年 春期 午前（科目A） 問08
問題文
情報システムに対するアクセスのうち、JIS Q 27002でいう特権的アクセス権を利用した行為はどれか。
選択肢
ア：許可を受けた営業担当者が、社外から社内の営業システムにアクセスし、業務を行う。
イ：経営者が、機密性の高い経営情報にアクセスし、経営の意思決定に生かす。
ウ：システム管理者が、業務システムのプログラムのバージョンアップを行う。（正解）
エ：来訪者が、デモシステムにアクセスし、システム機能の確認を行う。
🔒 解説は解答すると表示されます
特権的アクセス権【情報セキュリティマネジメント解説】
正解の理由
JIS Q 27002（情報セキュリティ管理の実践的ガイドライン）でいう「特権的アクセス権」とは、システムの設定変更やソフトウェア導入、ユーザ管理など、通常の利用者が持たない「システム運用上の強い権限」を指します。ここでのポイントは「他の利用者の操作やシステムの挙動を変えられる権限」で、単に機密情報を見ることとは異なります。
選択肢のうち、業務システムのプログラムのバージョンアップを行う行為は、ソフトウェアの導入・変更やシステム設定に該当し、システム動作に影響を与えるため特権的アクセスにあたります。したがって ウ が正解です。
（用語補足：システム管理者はサーバやネットワークなどを維持・管理する担当者です）
解法ステップ
- 「その操作がシステムの設定や動作を変えられるか」を確認する。
- 他者の権限やアクセス制御を変更できるか（例：アカウント作成・削除、権限付与）を確認する。
- 単に情報を閲覧するだけか、システムに恒久的な変更を加えるかで判断する。
- 上記で「変更を加える」なら特権的アクセスの候補とする。
この順で選択肢を見比べれば、管理・変更操作を含むものが特権的アクセスであると判断できます。
選択肢別の誤答解説
-
ア: 許可を受けた営業担当者が社外から営業システムにアクセスして業務を行う。
→ 業務上の正当な利用であり「閲覧・操作」はあるが、システムそのものの設定や管理を行うわけではないため特権的アクセスではありません（通常権限の利用）。 -
イ: 経営者が機密性の高い経営情報にアクセスして意思決定に生かす。
→ 機密性の高い情報へのアクセスは権限の高さを示すが、情報閲覧自体は「特権的アクセス（システム管理操作）」ではありません。役職で情報閲覧権限が広いことと、システム管理権限は別概念です。 -
ウ: システム管理者が業務システムのプログラムのバージョンアップを行う。
→ 正解。ソフトウェアの導入や更新はシステム構成を変える行為で、特権的権限（管理者権限）を必要とします。 -
エ: 来訪者がデモシステムにアクセスして機能確認を行う。
→ デモ用の環境に限定されたアクセスであれば、一般利用者やゲストとしての利用に当たり、特権的操作（システム本体の変更）ではありません。
よくある誤解
- 「機密情報にアクセスできる＝特権的アクセス」と誤解すること。閲覧権限が広くても、システムの設定変更など管理操作ができなければ特権的アクセスではありません。
- 「管理者アカウントは常時使ってよい」と考える誤り。特権アカウントは最小限の使用、監査と承認が必要です。
- 一時的な操作（メンテなど）を見落としがち。作業中のみ付与される昇格権限も特権的アクセスに該当します。
補足コラム
実務では「特権的アクセス」を管理する仕組みとして、PAM（Privileged Access Management：特権アカウント管理）や二段階承認、作業ログの記録・監査が用いられます。運用例としては、システム管理者が普段は一般アカウントで作業し、バージョンアップや設定変更が必要なときだけ特権を昇格して作業を行い、作業記録を残す、という流れです。これにより誤操作や不正利用のリスクを抑えます。
職場でのイメージ：サーバ更新作業は「保守窓口へ申請 → 承認 → メンテ日時に実施 → 作業ログ提出」という手順で管理されることが多いです。
FAQ
Q1: 管理職が重要データを自由に見られる場合、それは特権的アクセスですか？
A1: いいえ。重要データの閲覧権限が広いことと、システムの設定やアカウント管理などを行える特権は別です。前者は「情報アクセス権」、後者が「特権的アクセス権」です。
A1: いいえ。重要データの閲覧権限が広いことと、システムの設定やアカウント管理などを行える特権は別です。前者は「情報アクセス権」、後者が「特権的アクセス権」です。
Q2: 一時的なメンテのために昇格した権限は特権的アクセスに入りますか？
A2: はい。時間限定であっても、システムに変更を加える権限を行使するなら特権的アクセスです。必ず承認・監査を行います。
A2: はい。時間限定であっても、システムに変更を加える権限を行使するなら特権的アクセスです。必ず承認・監査を行います。
Q3: 特権的アクセスを減らす実務的な対策は？
A3: 最小権限の原則、分離職務（SoD：Segregation of Duties）、PAM導入、操作ログの収集と定期監査などが有効です。
A3: 最小権限の原則、分離職務（SoD：Segregation of Duties）、PAM導入、操作ログの収集と定期監査などが有効です。
関連キーワード: 特権的アクセス権、特権ID管理、最小権限、PAM（Privileged Access Management：特権アカウント管理）、監査ログ、システム管理者、権限昇格、アクセス制御
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！