平成24年度 春期 基本情報技術者試験 午前 問56
マネジメント／サービスマネジメント複数の業務システムがある場合のアクセス管理の方法のうち，最も適切なものはどれか。
出典：平成24年度 春期 基本情報技術者試験 午前 問56
- ア業務の担当変更に迅速に対応するために，業務グループごとに共通の利用者IDを使用する。
- イ人事異動が頻繁に発生する場合には，年初にまとめてアクセス権限の変更を行う。
- ウ新入社員の名簿に基づいて，あらかじめ全業務システムに全員の利用者登録を実施しておく。
- エ利用者の職位にかかわらず，業務システムごとに役割に応じて適切なアクセス権限の設定を行う。
正解：エ
解説
複数の業務システムがある環境でのアクセス管理では，利用者一人ひとりに対して，その職務上の役割（ロール）に応じて必要最小限のアクセス権限だけを個別に付与することが基本です。共通IDの利用や画一的な権限付与，一括登録などは，権限の乱用や不要なアクセスのリスクを高めるため適切ではありません。
選択肢ごとの解説
- ア誤り。共通の利用者IDを複数人で使い回すと，個々の利用者の操作の責任を追跡できなくなり，不適切な管理方法です。
- イ誤り。人事異動のたびに速やかにアクセス権限を見直さず，年初にまとめて変更すると，異動後も不要な権限が残る期間が生じ，適切ではありません。
- ウ誤り。あらかじめ全業務システムに全員の利用者登録をしておくと，実際には不要な業務システムへのアクセス権まで付与されてしまい，適切ではありません。
- エ正しい。利用者の職位にかかわらず，業務システムごとに実際の役割に応じて必要な範囲のアクセス権限を設定することが，適切なアクセス管理の方法です。