平成30年度 春期 午前 問43

✓ これが正解エ参照権限

解説

検索して表示するだけなら参照権限で足ります。

このアプリケーションが行う仕事は、利用者情報を検索して表示することだけです。設問が示した権限の範囲を見ると、レコードの参照ができるのは参照権限で、この仕事はそれだけで成り立ちます。仕事に必要な範囲より広い権限を渡すと、不具合が起きたときや、このアカウントが乗っ取られたときに、本来できないはずの書き換えや削除まで届いてしまいます。使わない力を持たせないほど、事故のときに広がる被害はせまくなりました。だから、情報セキュリティ管理上は参照権限を選ぶことになります。判定の軸は、その権限の範囲がアプリケーションの仕事をちょうど満たすか、それとも余分を含むかです。残る三つは、いずれもレコードやテーブルを書き換える力を含んでおり、検索して表示するためには一度も使われない範囲が残りました。

ほかの選択肢はなぜ違うのか

• ア管理者権限：テーブルの参照、登録、変更、削除ができる権限です。検索して表示するだけの仕事に対しては、任せる範囲が大きく開きすぎています。この鍵を渡すと、想定していない書き換えや消去まで手が届く余地を残しました。
• イ更新権限：レコードの登録、変更、削除ができる権限です。書き換える力は与えられますが、レコードの参照はこの範囲に入っていません。検索して表示するという仕事そのものが成り立たないうえ、使わない力だけが残ってしまいます。
• ウ更新権限と参照権限：参照する力に加えて、登録、変更、削除ができる力を重ねて与える組合せです。検索と表示は行えますが、書き換える力のほうは一度も使われません。使わない力を持たせた分だけ、事故のときの被害が広がります。