情報セキュリティマネジメント 平成31年度 春期 午前 問25

✓ これが正解イ アカウントの種類：データ構造の定義用アカウント／レコードの更新権限：無／テーブルの作成・削除権限：有

解説

定義用は作成・削除の権限だけを持つ組合せが適切です。

アカウントには、その役割に必要な最小限の権限だけを与えるのが情報セキュリティの原則です（最小権限）。データ構造の定義用アカウントの仕事はテーブルの作成や削除であり、日々のレコードの更新はその仕事ではありません。だから、テーブルの作成・削除権限を持ち、レコードの更新権限は持たない組合せが適切です。役割と無関係な権限まで持たせると、誤操作や乗っ取り、不正利用のときの被害が広がります。逆にデータの入力・更新用アカウントであれば、レコードの更新権限だけを持ち、テーブルの作成・削除権限は持たないのが適切な形になります。

ほかの選択肢の解説

• ア …構造の定義用アカウント／レコードの更新権限：有／テーブルの作成・削除権限：無：定義の仕事を担うアカウントなのに、その中心となるはずの権限が無く、日常のデータ入力の側の力だけを持つ形になっています。仕事の中身と与えた道具がかみ合っていない組合せです。
• ウ …の入力・更新用アカウント／レコードの更新権限：有／テーブルの作成・削除権限：有：データの入力・更新用アカウントにテーブルの作成・削除権限まで与えると、役割に不要な強い権限を持たせることになります。誤操作や悪用の影響が大きくなり、適切ではありません。
• エ …の入力・更新用アカウント／レコードの更新権限：無／テーブルの作成・削除権限：有：データの入力・更新用アカウントから本来必要なレコードの更新権限を外し、不要なテーブルの作成・削除権限だけを与えた、役割と権限が逆転した組合せです。