情報セキュリティマネジメント 平成29年度 秋期 午前 問25

✓ これが正解イ データ構造の定義用アカウント：レコードの更新権限＝無，テーブルの作成・削除権限＝有

解説

用途ごとに必要な権限だけを与える組合せが適切です。

アカウントには、その用途をこなすのに必要な最小限の権限だけを与えるのが、情報セキュリティ上の基本です。データ構造の定義用アカウントは、テーブルを作ったり削除したりする作業のために使うものなので、テーブルの作成・削除権限が必要になります。一方で、中に入っているレコードを書き換える作業までは担当しないので、レコードの更新権限は与えません。この考え方に沿うのは、データ構造の定義用アカウントに、レコードの更新権限を与えず、テーブルの作成・削除権限だけを与える組合せです。用途の違うアカウントに権限をまたいで持たせないことで、誤った操作や悪用が起きたときの影響を狭められます。

ほかの選択肢の解説

• ア データ構造の定義用アカウント：レコードの更新権限＝有，テーブルの作成・削除権限＝無：データ構造を定義する担当のアカウントから、テーブルを作る権限と消す権限を取り上げてしまうと、本来の仕事ができなくなります。そのうえで担当しないレコードの書換えができる形になっており、過不足が逆さまです。
• ウ データの入力・更新用アカウント：レコードの更新権限＝有，テーブルの作成・削除権限＝有：データを入れたり直したりする担当のアカウントに、テーブルそのものを作る権限や消す権限まで持たせています。誤操作や悪用が起きたとき、入れ物ごと失われるおそれがあり、与えすぎになります。
• エ データの入力・更新用アカウント：レコードの更新権限＝無，テーブルの作成・削除権限＝有：入力や更新を担当するアカウントなのにレコードを書き換えられず、代わりにテーブルの作成や削除ができるという形です。必要な権限が抜け、不要な権限だけが付いた、ちぐはぐな割り当てになっています。