情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問15: システム管理者による内部不正を防止する対策として，適切なものはどれか。

問題本文

システム管理者による内部不正を防止する対策として，適切なものはどれか。

選択肢

• ア.システム管理者が複数の場合にも，一つの管理者 ID でログインして作業を行わせる。
• イ.システム管理者には，特権が付与された管理者 ID でログインして，特権を必要としない作業を含む全ての作業を行わせる。
• ウ.システム管理者の作業を本人以外の者に監視させる。
• エ.システム管理者の操作ログには，本人にだけアクセス権を与える。

正解

ウ. システム管理者の作業を本人以外の者に監視させる。

解説

強い権限をもつシステム管理者の不正を防ぐには，作業を本人以外の第三者がチェックする相互監視（職務分掌）が有効である。管理者の作業を本人以外に監視させるウが，牽制が働く対策であり正解である。

選択肢ごとの解説

• ア.複数の管理者が一つの ID を共用すると，誰が操作したかを特定できず責任追跡性が失われるため不適切である。
• イ.特権を必要としない作業まで管理者 ID で行わせると権限濫用や誤操作の影響が大きくなり，最小権限の原則に反する。
• ウ.管理者の作業を本人以外に監視させると相互牽制が働き不正を抑止できるため，正しい。
• エ.操作ログへのアクセス権を本人だけに与えると証拠となるログを改ざん・削除でき，かえって不正を助長するため不適切である。