利用者情報を格納しているデータベースから利用者情報を検索して表示する機能だけをもつアプリケーションがある。
このアプリケーションがデータベースにアクセスするときに用いるアカウントに与えるデータベースへのアクセス権限として，情報セキュリティ管理上，適切なものはどれか。
ここで，権限の名称と権限の範囲は次のとおりとする。
〔権限の名称と権限の範囲〕
参照権限： レコードの参照が可能
更新権限： レコードの登録，変更，削除が可能
管理者権限：テーブルの参照，登録，変更，削除が可能
正答4
解説
正解は4です。
アプリケーションに与えるアクセス権限は、必要な機能を果たすための最小限にするという、最小権限の原則が基本です。
このアプリケーションは利用者情報の検索と表示しか行わないので、レコードを参照できれば十分です。
【選択肢別解説】
1：× 管理者権限では、テーブルの登録や削除までできてしまいます。
アプリケーションが悪用された場合の被害が大きくなるので不適切です。
2：× 更新権限はレコードの登録・変更・削除の権限で、検索と表示には不要です。
そのうえ参照ができないので、検索機能も実現できません。
3：× 参照権限は必要ですが、更新権限は不要です。
不要な権限を与えると、誤操作や攻撃でデータが改ざんされるおそれがあります。
4：○ 検索と表示に必要な参照権限だけを与えることが、最小権限の原則に合っています。
【ポイント】
最小権限の原則には、SQLインジェクションなどで不正な操作をされた場合の被害を小さくする効果もあります。