情報セキュリティマネジメント 2017年 春期 午前（科目A） 問36

特権IDの不正検知【情報セキュリティマネジメント解説】

正解の理由

• ログとは操作の履歴を記録したファイルやデータのことです。改ざん防止や時刻の正確さが重要です。
• この照合は手作業でも可能ですが、SIEM（Security Information and Event Management：セキュリティ情報・イベント管理）やログ管理ツールで自動化すると確実です。

解法ステップ

1. 問題の目的を明確にする：ここでは「不正使用の発見（検知）」が目的。予防と検知は異なる点に注意します。
2. 各選択肢が「検知」に寄与するかを判定する：
   • 記録（ログ）と照合できるか。
   • 第三者が後で検証できる証跡（監査証跡）を残すか。
3. 最終的に「検知のために証拠をつなげられる」選択肢を選ぶ。
4. 運用面（現実的な作業負荷、改ざん対策）も考慮する。

選択肢別の誤答解説

• ア：正解。貸出簿は「誰に許可したか」の記録、利用ログは「誰が何をしたか」の事実。両者を突き合わせることで、許可された利用か不正利用かが判定できます。ログの保全（改ざん防止）と時刻同期が前提です。
• イ：特権使用者でも通常は一般利用者IDを使う、という運用は「誤用を減らす」予防策に近いです。しかし、普段から一般IDを使っているだけでは、特権IDが使われたかどうかを自動的に検出する仕組みにはなりません。検知にはログと貸出の証跡が必要です。
• ウ：使用の都度貸出しを受けることはアクセスの管理として有効です（承認プロセス）。ただし、貸出しの記録と実際の利用ログを照合しなければ、貸出を受けた後に誰が使ったか（借りた人以外が使ったか）を発見できません。つまり「貸出しの記録だけ」では不正検知は不十分です。
• エ：特権を細分化する（最小権限化）は良い予防策で、被害の範囲を小さくします。しかし、既存の特権IDが不正に使われた事実を「発見する」ための直接的な検知手段ではありません。

よくある誤解

1. 「予防できれば検知は不要」
   予防は重要ですが完全ではありません。検知できないと、被害の範囲や原因が分からず再発防止ができません。
2. 「ログがあるだけで十分」
   ログは重要ですが、誰が許可を持っていたかという別の記録（貸出簿や承認履歴）と結びつけて初めて不正と判定できます。またログの改ざん防止も必須です。
3. 「手書きの貸出簿で十分」
   手書きや分散管理だと改ざんや記録漏れが発生しやすいです。できれば電子化して中央で保管し、ログと自動照合できる体制が望ましいです。

補足コラム

• 推奨される技術：PAM（Privileged Access Management：特権アクセス管理）という製品群があります。PAMは特権IDの貸出・発行を自動化し、セッション録画や操作ログを残す機能を持ちます。これにより、人手による突合せや改ざんリスクを低減できます。
• 運用の実例：管理業務でサーバ設定を変更する際、従業員が「特権利用申請フォーム」を電子申請。承認後に一時的に使える資格情報が発行され、操作はすべて記録される。業務終了後にシステムが自動で返却し、日次で貸出記録とログを突合せて差異があればアラートする、という流れが現場で有効です。
• ログ保全のポイント：タイムスタンプの同期（NTP）、ログの中央集約、WORM（Write Once Read Many：書き込み一回、読み取り何度でも）保存やハッシュによる改ざん検知などを導入します。

FAQ