システム監査・内部統制｜平成29年度 春期 情報セキュリティマネジメント試験 午前 問36

• ✓ これが正解特権IDの貸出し及び返却の管理簿と，特権IDの利用ログを照合する。
• 特権IDの使用を許可された者も，通常の操作では一般利用者IDを使用する。
• 特権IDの使用を必要とする者は，使用の都度，特権IDの貸出しを受ける。
• 特権IDの設定内容や使用範囲を，用途に応じて細分化する。

解説

貸出しの記録と利用ログの照合で不正な使用に気づけます。

特権IDは、システムの設定やデータの操作、さらに権限の設定まで行える強いIDです。この設問が問うているのは、不正な使用を未然に防ぐ手立てではなく、起きてしまった不正な使用を見つけ出す手立てのほうです。貸出しと返却を記した管理簿は、いつ誰に使用が認められたかを示す記録です。一方、特権IDの利用ログには、実際にいつ使われたかが残ります。この二つを突き合わせれば、貸し出していない時間帯の使用や、返却した後の使用のように、認められた範囲の外での使用が浮かび上がります。認めた記録と実際の記録を照らし合わせることが、発見の手立てとして働くわけです。こうした強い権限の扱いは、特権的アクセス権の管理という考え方に当たります。

ほかの選択肢はなぜ違うのか

• 通常の操作では一般利用者IDを使うという運用を挙げる内容です。強い権限を使う場面そのものを減らす備えであって、すでに行われた不正な使用に気づかせる働きはありません。
• 使用のたびに貸出しを受けるという手続を挙げる内容です。使う人と場面を絞り込む備えではありますが、手続を定めるだけでは、認められていない使用が行われたことを検出できません。
• 設定内容や使用範囲を用途ごとに細かく分けるという内容です。一つのIDでできることを狭めて被害の広がりを抑える備えであり、行われた使用を後から洗い出す働きとは別のものです。

この問題に関係する言葉

• 特権的アクセス権設定の変更や、他人の権限の付け外しまでできる強い権限。持つ人をできるだけ絞ることが、対策の出発点になります。
• アカウント管理利用者IDの発行から削除までを、申請に基づいて記録し保つ仕事です。申請漏れや反映漏れを見つけるため、定期的な突合せを行います。
• ログ管理ログを取るだけでなく、定期的に確認して異常に気づくまでを含む運用です。不正を事前に止める仕組みではなく、事後に調べるための備えです。
• 特権IDシステムの設定やデータの操作、権限の設定までできる強いIDです。貸出しと返却の管理簿を利用ログと照合すると、不正な使用に気づけます。

出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問36

この問題を演習で解く

同じ単元をまとめて解くならシステム監査・内部統制へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）