情報セキュリティマネジメント 平成28年度 秋期 午前 問11

✓ これが正解エ 夜間・休日のシステム管理者の単独作業を制限する。

解説

人目のない時間の単独作業は不正の機会をつくります。

システム管理者は、設定を変え、記録に手を入れ、権限まで動かせる強い立場にあります。こうした強い権限は特権的アクセス権として、とりわけ気をつけて管理する対象です。その人が夜間や休日に一人だけで作業できる状態は、やろうと思えばできてしまう環境そのものになります。内部不正は、機会・動機・正当化の三つがそろったときに起きやすいとされ、このうち組織が手を打ちやすいのが機会です。人の目が届かない時間帯の単独作業を制限し、複数人での実施や事前の承認を求めれば、見られている状態が保たれ、機会を減らせます。残りの三つは、話をさせない、記録を見せない、休ませないというもので、いずれも周りから見えにくくする方向に働きます。

ほかの選択肢の解説

• ア システム管理者間の会話・情報交換を制限する。：管理者どうしが話し合ったり情報をやり取りしたりできなくすると、互いの作業が見えなくなり、一人で抱え込む状態が強まります。周りの目を減らす方向なので、ねらいと逆を向いています。
• イ システム管理者の操作履歴を本人以外が閲覧することを制限する。：操作の履歴を本人のほかには見せないようにすると、第三者があとから確かめる道が閉ざされます。記録は見て確かめられてこそ抑止にも発見にもつながるため、閲覧を絞るのは望ましくありません。
• ウ システム管理者の長期休暇取得を制限する。：長い休みを取らせずにいると、その人が席を外している間に別の担当者が同じ業務を行う場面が生まれません。ふだん一人の中に閉じている処理が表に出る機会を、自分から手放すことになります。