情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度秋期 午前 問25: データベースのアカウントの種類とそれに付与する権限の組合せのうち，情報セキュリティ上，適切なものはどれか。

問題本文

データベースのアカウントの種類とそれに付与する権限の組合せのうち，情報セキュリティ上，適切なものはどれか。

選択肢

• ア.アカウントの種類：データ構造の定義用アカウント／レコードの更新権限：有／テーブルの作成・削除権限：無
• イ.アカウントの種類：データ構造の定義用アカウント／レコードの更新権限：無／テーブルの作成・削除権限：有
• ウ.アカウントの種類：データの入力・更新用アカウント／レコードの更新権限：有／テーブルの作成・削除権限：有
• エ.アカウントの種類：データの入力・更新用アカウント／レコードの更新権限：無／テーブルの作成・削除権限：有

正解

イ. アカウントの種類：データ構造の定義用アカウント／レコードの更新権限：無／テーブルの作成・削除権限：有

解説

最小権限の原則に基づき、アカウントには本来の役割に必要な権限だけを付与すべきである。データ構造の定義用アカウントはテーブルの作成・削除を行うがレコードの更新は不要、データの入力・更新用アカウントはレコード更新を行うがテーブルの作成・削除は不要である。定義用アカウントにレコード更新権限を与えず、テーブル作成・削除権限を与えるとしたイが適切である。

選択肢ごとの解説

• ア.誤り。定義用アカウントに不要なレコード更新権限を与え、必要なテーブル作成・削除権限を与えていない点で不適切である。
• イ.正しい。定義用アカウントには不要なレコード更新権限を与えず、役割に必要なテーブル作成・削除権限のみを付与しており適切である。
• ウ.誤り。入力・更新用アカウントに不要なテーブル作成・削除権限まで与えており、最小権限の原則に反する。
• エ.誤り。入力・更新用アカウントに必要なレコード更新権限を与えず、不要なテーブル作成・削除権限を与えており役割と逆で不適切である。