情報処理安全確保支援士 2012年 秋期 午後1 問02

解答の論理構成

1. 【問題文】には、モニタリング条件策定の前提として「①営業部のF部長にヒアリングを行い、ログから不審な利用者IDを抽出するための条件（以下、モニタリング条件という）を検討し、表3にまとめた。」とあります。
2. 表3の各条件には「ログイン失敗が3回以上」「8000番台の機能の利用成功回数が50回を超えた」など、具体的なしきい値が設定されています。
3. これらのしきい値は、営業部の通常業務で許容されるアクセス量を把握していなければ決められません。ヒアリングを行わなければ業務実態が分からず、 • 何回以上のアクセスが“異常”と見なせるのか
   • どの時間帯の利用が“想定外”なのか
   といった基準値を設定できないため、モニタリング条件そのものが作成できません。
4. したがって、①を省略すると「個人情報へのアクセス頻度の上限のような具体的な値」が不足すると結論づけられます。

誤りやすいポイント

• “ヒアリングしないと不審利用のパターンが分からない”とだけ書き、数値化された基準が欠ける点を示さない。
• “F部長の承認”や“利用目的”と記述し、アクセス回数・頻度という定量情報に言及しない。
• 表3の例（50回など）をそのまま引用せず抽象的に「条件を決められない」とだけ述べる。

FAQ

解答の論理構成

• 【問題文】表2「エ：無権限者が、自分の利用者IDを用いて、個人情報へのアクセスを試みる。」が抽出対象です。
• 個人情報は【問題文】表1にある「8000番台の機能(1000～9999のうち)」で操作されます。
• 無権限者が個人情報を参照しようとすると、権限不足のため「ログインとログアウト以外の機能の利用失敗」が記録されます。
• したがって、無権限者の不正試行を検知するには「8000番台の機能の利用失敗」を監視すればよいことになります。
• 週次モニタリングで一度でも失敗があれば要確認なので、a には「8000番台の機能の利用失敗回数が1回以上」が入ります。

誤りやすいポイント

• 「ログイン失敗」と混同しやすい
  無権限者は認証には成功しているため、見るべきは機能利用の失敗ログです。
• “回数”のしきい値設定
  無権限者のアクセスは1回でも問題なので、誤って複数回に設定すると見逃しリスクが高まります。
• 8000番台＝個人情報機能であることの読み落とし
  問題文中の「機能番号(1000～9999)」の説明を見落とすと番号帯を誤解しがちです。

FAQ

解答の論理構成

1. 調査対象を端末IDで特定する場面
   • 問題は「図1中の下線②について、調査の対象とする従業員を端末IDで特定しようとするのはどのイベントの場合か」と問うています。
   • 端末IDを手がかりにせざるを得ないのは、「利用者IDが B システムに登録されていない場合」です。
2. 「利用者IDが登録されていない」可能性があるログ
   • 表1を見ると
     ・「ログイン失敗」には「ログインしようとした利用者ID」
     ・他の 4 つのイベントには「利用者ID」
     が記録されます。
   • 「ログインしようとした利用者ID」は入力値をそのまま保存するので、存在しないIDが含まれる可能性があります。
   • 対して、「利用者ID」が記録されるイベントは、認証または権限チェックを通過しているため、いずれも B システムに登録済みの ID です。
3. 以上より
   • 未登録IDがログ中に現れる可能性があるのは表1の「ログイン失敗」のみ。
   • 従って、このイベントでのみ端末IDから従業員を特定する必要が生じます。

誤りやすいポイント

• 「ログインとログアウト以外の機能の利用失敗[ 1 ]」も失敗だから未登録IDだと勘違い
  → このイベントに記録されるのは既にログイン済みの「利用者ID」であり、未登録IDは入り得ません。
• 成功・失敗の成否で判断してしまう
  → 問題は成否ではなく「登録の有無」。失敗でも登録IDが記録されるケースがある点に注意が必要です。
• 図1の文章を丸暗記してしまい、ログの内容まで確認しない
  → 表1の「ログインしようとした利用者ID」という文言の有無が決定的です。

FAQ

解答の論理構成

1. 文章中で、D部長は「③モニタリングの実施を社内に通達する」よう指示しています。
2. 通達＝従業員に知らせる行為であり、システム操作が監視対象であることを全員が認識します。
3. 監視を自覚すると、不正行為の発覚リスクが高まると従業員が感じるため、 ・不正アクセス
   ・過剰な個人情報閲覧
   などの行動を控える心理的効果が生じます。
4. 以上より、③の狙いは“不正を未然に防ぐ”ことであり、模範解答「悪意ある行動を抑止する効果」となります。

誤りやすいポイント

• 「通達＝技術的対策」と早合点し、監視精度や自動化に関する効果を書いてしまう。
• 「社内へ周知する＝作業効率向上」だけを取り上げ、抑止というセキュリティ視点を忘れる。
• モニタリング条件を開示しない点（④）と混同し、「通達によって条件を共有できる」と誤解する。

FAQ

解答の論理構成

1. 問題文には、D部長が“④モニタリング条件はセキュリティ上の懸念から開示しない”と指示したと明記されています。
2. モニタリング条件とは、表3のように「1週間で、ログイン失敗が3回以上」や「8000番台の機能の利用成功回数が50回を超えた」など、具体的なしきい値で構成されています。
3. これらを社内に公開すると、不正を企てる者が「しきい値‐1」程度に行動を抑え、検出を逃れる行動を計画できてしまいます。
4. よって、開示による最大のリスクは「モニタリング対象が条件を回避して不正を実行できる」点にあり、模範解答のとおりとなります。

誤りやすいポイント

• 「条件を隠すのはプライバシー保護のため」と誤解しやすい
• 「ログ内容そのものの漏えい」を懸念と答えてしまう
• しきい値を知られても“気づかれない程度に増減する”という回避行動に思い至らない

FAQ

解答の論理構成

1. 原因となるしきい値変更
   • 当初の条件2は「1週間で、8000番台の機能の利用成功回数が50回を超えた利用者ID」でした【表3】。
   • しきい値を「200回」に引き上げると、51〜200回のアクセスが監視対象から外れます。
2. 見逃す恐れのある行動
   • 表2「イ」には「有権限者が…大量の個人情報にアクセスする」とあり、“大量”の目安を50回超と定義していました。
   • 51〜200回は依然として“大量”の範疇であり、不審行為の可能性があります。
3. 見逃す恐れのある対象者
   • 新サービス担当の4名は正当業務で「1人当たり毎週200回近く個人情報にアクセス」します【本文】。
   • したがって「新サービス担当の4名以外の従業員」が51〜200回を行った場合こそ監視すべきです。
4. 以上より、適切なモニタリングができなくなる場面は
   新サービス担当の4名以外の従業員が、1週間に51〜200回の個人情報アクセス（8000番台機能）を行った場合となります。

誤りやすいポイント

• 「200回超だけを大量アクセスと見なす」と早合点し、51〜200回を無視してしまう。
• 監視対象者に「新サービス担当の4名」を含めてしまい、真のリスク主体を取り違える。
• 期間（1週間）と機能番号（8000番台）を他の条件と混同する。

FAQ

解答の論理構成

• 【問題文】の「表3　モニタリング条件」で、条件2は
  「1週間で、8000番台の機能の利用成功回数が50回を超えた利用者ID」
  であり、不審行為「イ（有権限者が…大量の個人情報にアクセス）」を検知するための基準でした。
• しかし新サービス担当の4名が毎週約200回アクセスするため、同じ基準では業務上正当な利用まで検知してしまうと記述されています。
• そこで【問題文】は「表4　新たなモニタリング条件2’」を提示し、 「b、かつ、8000番台の機能の利用成功回数が前の週に比べて2倍以上」
  と二段階条件に変更しました。
• 不審かどうかは“急増”がポイントなので、bには「従来と同じアクセス量の閾値」を残し、そこに“前週比2倍以上”を加えて絞り込みます。
• よってbは、条件2で用いた「週5０回超え」の基準を書き直したものが入ります。

誤りやすいポイント

• 「2倍以上」だけに着目し、50回超えの閾値が不要と誤解する。
• “利用成功回数”と“ログ件数”を混同する。
• 「8000番台の機能」の意味を“8000番”1種類と誤読し、累計を過小評価する。
• 文中の数値（50回・2倍）を改変して書いてしまう。

FAQ

解答の論理構成

1. 施策の目的の確認
   • 【問題文】では、D部長が“モニタリング条件の見直しをせずにいると、モニタリングが有効に機能しなくなったり、非効率になったりする”と述べ、⑥の施策を要求しています。
   • したがって、施策は「業務の変化を捉え、条件を適切に更新し続けること」が狙いです。
2. 変化を把握する主体
   • モニタリング条件の策定時、E課長は①営業部のF部長にヒアリングを行い条件を決定しました。
   • 業務内容の最新情報を最も把握しているのは営業部の管理職（各課長・部長）であるため、同じルートで継続的に情報を収集するのが合理的です。
3. 施策の具体化
   • 「変化を把握する」→「定期的にヒアリング」。
   • 「条件の陳腐化を防ぐ」→「モニタリング条件を見直す」。
   • これらを一連のサイクルとして回すことで、有効性（正しく不審行為を捉える）と効率性（不要な調査を抑える）の両立が図れます。
4. 以上より、模範解答
   • 「定期的に営業部の部長にヒアリングを行って業務内容に変化がないか確認し、モニタリング条件を見直す。」が適切です。

誤りやすいポイント

• 「ツールの機能拡張」だけを書き、業務側の情報収集を忘れる。
• 「しきい値を自動調整する」など技術的手段だけに触れ、D部長の指示にある“業務は今後も変化していく”という背景を無視する。
• ヒアリングの頻度や対象を限定せず曖昧に書いてしまう。

FAQ