ITサービスマネージャ 2009年 午後1 問04

解答の導き方

誤りやすいポイント

• 「有効期限が設定されていない」と考えないようにします。有効期限は申請日のちょうど2年後に設定されています。
• 有効期限の20日前に通知していることだけで、更新管理が十分だと判断しないようにします。更新を忘れる利用者が多いという結果が示されています。
• 通知を送ることと、更新が完了したかを確認して未更新者に督促することは別です。問題は、通知の有無ではなく、更新完了に向けた期限設定とフォローが不足している点です。

FAQ

解答の導き方

1. まず、電子証明書の有効期限がどのように決まるかを確認します。本文には「申請日のちょうど2年後を有効期限としている」とあります。申請日は利用者ごとに異なるため、この運用では電子証明書の有効期限も利用者ごとにばらばらになります。
2. 次に、情報システム部の作業状況を確認します。電子証明書の発行は「申請される都度」行われています。一方で、「一度に複数の電子証明書の発行が可能」とあるため、作業をまとめられる余地があります。
3. 有効期限がばらばらだと、更新の時期も分散し、その都度、情報システム部で作業することになります。有効期限をそろえれば、複数の更新をまとめて実施しやすくなり、作業の回数を減らせます。
4. したがって、見直す点は、有効期限をそろえて電子証明書の更新作業をまとめられるようにすることです。

誤りやすいポイント

• 有効期限を単に長くすることが目的ではありません。問われているのは、情報システム部の作業効率を上げるための運用見直しです。
• 利用者への更新通知を増やすだけでは、更新作業が個別に発生する状況は変わりません。
• 有効期限をそろえることと、更新作業の回数を減らすことを結び付けて説明する必要があります。

FAQ

解答の導き方

誤りやすいポイント

• 障害の直接原因である「最新版のブラウザと電子証明書との組合せ」だけを書くと、設問が求める運用方法の問題点になりません。
• 「ブラウザのバージョンが古い」とするのは誤りです。本文では、最新版への更新後に障害が発生しています。
• 「電子証明書の有効期限切れ」と混同しないようにします。今回は有効期限ではなく、ブラウザと電子証明書の組合せが問題です。
• セキュリティパッチの適用をやめる、という趣旨にしないようにします。更新前に互換性を確認することがポイントです。

FAQ

解答の導き方

誤りやすいポイント

• 認証失敗の記録だけを見ても、正常時から何が変わったのかは分かりにくいです。成功時の記録と比較することが重要です。
• 利用者IDや接続元IPアドレスだけに注目し、ブラウザの種類やバージョンを見落とさないようにします。
• 最初から電子証明書だけを調べるのではなく、認証ログに記録された複数の項目を比較して原因を絞り込みます。

FAQ

解答の導き方

1. 事故の直接のきっかけは、S氏が「自宅のPCから販売システムに接続」し、「本来、営業担当者は行わない配送先の変更」を行ったことです。つまり、問題は単にログインできたことではなく、接続場所や接続方法に応じた業務制限がなかったため、営業担当者としての接続から配送先の変更までできた点にあります。
2. 本文では、認証サーバが「利用者IDごとの利用可能業務」と比較して認証可否を判定すると説明されています。しかし、この仕組みだけでは、同じ利用者IDであれば、社内ネットワークから接続した場合とインターネット経由で接続した場合とで、利用できる業務を変えられません。
3. 異動後に異動前の業務を利用できる状態が残っていたことも、事故を可能にした要因です。ただし、それに加えて、接続元が自宅などのインターネット経由である場合には配送先変更を認めない、といった制御があれば、今回のような操作を防止できます。
4. したがって、追加すべき機能は、利用者の権限だけでなく接続元も判断材料にし、接続元に応じて利用できる業務を制限することです。

誤りやすいポイント

• 異動後すぐに異動前の業務を無効にすることだけを答えると、設問が求める「システムに追加すべき機能」を述べられていません。
• VPN装置のIDとパスワードによる認証だけでは、接続後に利用できる業務までは制限できません。認証と、業務の利用可否を決める認可を区別しましょう。
• 「自宅からの接続を禁止する」とだけ答えると、接続元に応じて業務を制御する機能ではなく、接続そのものの禁止になってしまいます。

FAQ

解答の導き方

1. この設問は、電子証明書のバックアップを禁止した後、現在の発行手順をそのまま使う場合に、PC故障時に何が問題になるかを問うています。
2. 現在はPC故障に備え、「発行済の電子証明書を外部記憶媒体にバックアップ」して保管しています。これを禁止すると、PCが故障したときに、そのPCにインストールされていた電子証明書をバックアップから戻すことはできません。したがって、新しい電子証明書の発行が必要になります。
3. 現在の発行手順では、利用者が申込書を記入して所属部署の管理者の承認を得た後、情報システム部で審査・発行します。さらに、発行用IDは電子メールで送付されますが、発行用PWは所属部署の管理者に郵送されます。利用者がそれらを受け取り、PCに電子証明書をインストールするまでには時間が掛かります。
4. 新しい電子証明書がインストールされるまでは販売システムにログインできません。そのため、問題となるのは、PC故障後の再発行に時間が掛かり、その間販売システムを利用できないことです。

誤りやすいポイント

• バックアップ禁止による機密性の向上だけに注目し、PC故障時の業務への影響を見落とさないようにします。
• 問われているのは、電子証明書を再発行する手順そのものの安全性ではなく、現在の発行手順を続けた場合の問題点です。
• PCが故障しても、再発行された証明書を受け取ってインストールするまでは販売システムを利用できない点まで述べることが重要です。

FAQ

解答の導き方

誤りやすいポイント

• 「利用者本人が申請する」と書かれていることを、本人確認ができていることと取り違えないようにします。本人が申請する想定であることと、申請を受け付ける側が本人だと確認できることは別です。
• 管理者の承認と本人確認は、確認する内容が異なります。管理者の承認は申請の業務上の妥当性を確認し、本人確認は申請者が正当な利用者であることを確認します。
• メールで電子証明書を送付する方法だけに注目して、申請の承認や本人確認が抜けている点を見落とさないようにします。

FAQ