情報セキュリティマネジメント 平成28年度 春期 午前 問15

✓ これが正解ウ システム管理者の作業を本人以外の者に監視させる。

解説

作業を本人以外に監視させ、不正の機会をなくします。

システム管理者には、業務システムを動かすために特権的アクセス権が与えられます。できることが大きいぶん、記録を消すことも設定を書き換えることも本人の手だけで済んでしまうため、作業が本人の中で完結する状態は、不正を実行できる機会をつくります。内部不正の対策は、この機会をなくす方向で考えるのが基本です。システム管理者の作業を本人以外の者に監視させると、第三者の目が入ることで手を出しにくくなり、実際に手を出したときにも気づかれます。残りの三つは、誰が操作したのかを後から追えなくしたり、必要のない場面まで大きな権限を使わせたり、記録を本人の裁量に委ねたりするもので、いずれも機会を増やす方向にはたらきます。

ほかの選択肢の解説

• ア システム管理者が複数の場合にも，一つの管理者IDでログインして作業を行わせる。：複数の担当者が同じ管理者IDを使い回すと、記録に残るのはIDだけになり、実際に操作したのが誰なのかを後から特定できません。責任の所在があいまいなままになるので、防止策としては逆向きです。
• イ システム管理者には，特権が付与された管理者IDでログインして，特権を必要としない作業を含む全ての作業を行わせる。：特権を必要としない作業まで特権のついたIDで行わせると、大きな権限を持ったまま過ごす時間が長くなります。誤操作や悪用が起きたときの影響も広がるため、作業に応じてIDを使い分けるほうが安全です。
• エ システム管理者の操作ログには，本人にだけアクセス権を与える。：操作の記録を本人だけが読み書きできる状態にすると、都合の悪い記録を消したり書き換えたりできてしまいます。第三者が確かめられない記録は、後から振り返る手掛かりとして役に立ちません。