情報セキュリティマネジメント 2018年 春期 午前（科目A） 問07

特権的アクセス権管理【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文でキーとなる語（ここでは「管理特権」「特権的アクセス権」）を確認する。意味は「システムを設定変更できる高権限」。
2. 各選択肢の行為が「システムの構成変更・管理作業」か、単なる「業務利用・閲覧」かを判定する。
3. 管理作業を伴うもの（OSやプログラムのインストール・更新、設定変更など）を選ぶ。今回それが ウ である。

選択肢別の誤答解説

• ア: 許可を受けた営業担当者が社外から営業システムにアクセスして業務を行う
  → 営業担当者の行為は「業務ユーザとしての正当な利用」であり、管理特権（システム設定やプログラム更新）には当たりません。通常はID/パスワードやVPNなどでアクセス管理されます。
• イ: 経営者が機密性の高い経営情報にアクセスし意思決定に生かす
  → 情報の「機密性」は高いが、これは情報へのアクセス権（閲覧権限）の話であり、システム管理上の「特権的アクセス権」とは別です。経営者の閲覧は権限の高さとは別次元です。
• ウ: システム管理者が業務システムのプログラムにアクセスしバージョンアップを行う
  → ここが正解。プログラムの導入・更新はシステムの動作に直接影響する管理作業であり、特権的アクセス権を用いる典型的な行為です。JIS Q 27002 ではこうした管理権限の付与・利用・記録・監査を厳格に求めます。
• エ: 来訪者がデモ用のシステムにアクセスし機能確認を行う
  → デモ環境でのアクセスは通常ゲストや観覧者向けであり、管理権限を行使する行為ではありません。事前に制限された環境ならば問題になりにくいです。

よくある誤解

• 誤解1: 「機密情報にアクセスできれば特権的である」
  → 機密情報の閲覧権と、システムを変更できる「特権」は別物です。前者は情報アクセスの問題、後者はシステム管理の権限管理です。
• 誤解2: 「経営者や上司だから自動的に特権を持つ」
  → 役職が高くても、システム管理上の権限は別管理が原則です。むしろ必要最小限の権限付与（最小権限の原則）が重要です。

補足コラム

• 最小権限の付与：業務に本当に必要な範囲だけ権限を与える。
• 個人別アカウントの使用：共用アカウントは監査・責任追跡が困難になるので原則避ける。
• 承認と記録：特権操作は事前承認や作業記録（ログ）を残す。
• 変更管理：バージョンアップ等は変更管理プロセスで実施し、影響評価・テスト・復旧手順を用意する。
• 緊急時の手続き：緊急対応用に一時的に権限を与える仕組み（Just-In-Time）と監査を用意する。
• 技術的対策：PAM（特権アクセス管理）ツールでパスワード管理、セッション録画、権限昇格の制御を行う。

FAQ