情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度秋期 午前 問25: データベースのアカウントの種類とそれに付与する権限の組合せのうち，情報セキュリティ上，適切なものはどれか。

正解

イ. アカウントの種類：データ構造の定義用アカウント／レコードの更新権限：無／テーブルの作成・削除権限：有

正答率 50.8%（63人中 32人が正解）

問題の解説

最小権限の原則に基づき、アカウントには本来の役割に必要な権限だけを付与すべきである。データ構造の定義用アカウントはテーブルの作成・削除を行うがレコードの更新は不要、データの入力・更新用アカウントはレコード更新を行うがテーブルの作成・削除は不要である。定義用アカウントにレコード更新権限を与えず、テーブル作成・削除権限を与えるとしたイが適切である。

選択肢ごとの解説

• ア誤り。定義用アカウントに不要なレコード更新権限を与え、必要なテーブル作成・削除権限を与えていない点で不適切である。
• イ正しい。定義用アカウントには不要なレコード更新権限を与えず、役割に必要なテーブル作成・削除権限のみを付与しており適切である。
• ウ誤り。入力・更新用アカウントに不要なテーブル作成・削除権限まで与えており、最小権限の原則に反する。
• エ誤り。入力・更新用アカウントに必要なレコード更新権限を与えず、不要なテーブル作成・削除権限を与えており役割と逆で不適切である。