修了試験 2015-06-28実施分 基本情報技術者試験 問56

解説

正解は4です。 複数の業務システムがある場合の、利用者IDとアクセス権限の管理方法を問う問題です。 アクセス管理の基本は、利用者ごとに個別のIDを与え、業務に必要な最小限の権限だけを与えることです。 【選択肢別解説】 1：× グループで共通の利用者IDを使うと、誰が操作したのかを特定できず、責任の所在が不明確になります。 利用者IDは一人一人に割り当てるべきです。 2：× 人事異動のたびに権限を変更しないと、異動前の部署の権限が残り、不要なアクセスができる状態が続きます。 異動の都度、速やかに変更するべきです。 3：× 全員を全ての業務システムに登録すると、業務に必要のないシステムにもアクセスできてしまいます。 必要な人だけを、必要になった時点で登録するべきです。 4：○ 職位の高さではなく、業務システムごとの役割に応じて必要な権限を設定するのが適切です。 業務に必要な権限だけを与える最小権限の原則にもかなっています。 【ポイント】 アクセス管理では、個人単位のID、最小権限の原則、異動や退職時の速やかな権限変更が基本です。 役割に応じて権限をまとめて管理する方法をロールベースアクセス制御（RBAC）といいます。