平成30年度 春期 基本情報技術者試験 午前 問43
テクノロジ／セキュリティ利用者情報を格納しているデータベースから利用者情報を検索して表示する機能だけをもつアプリケーションがある。このアプリケーションがデータベースにアクセスするときに用いるアカウントに与えるデータベースへのアクセス権限として，情報セキュリティ管理上，適切なものはどれか。ここで，権限の名称と権限の範囲は次のとおりとする。 〔権限の名称と権限の範囲〕 参照権限： レコードの参照が可能 更新権限： レコードの登録，変更，削除が可能 管理者権限：テーブルの参照，登録，変更，削除が可能
出典：平成30年度 春期 基本情報技術者試験 午前 問43
- ア管理者権限
- イ更新権限
- ウ更新権限と参照権限
- エ参照権限
正解：エ
解説
最小権限の原則に従えば，利用者情報を検索して表示する機能だけをもつアプリケーションのアカウントには，レコードの参照だけができる参照権限を与えれば十分であり，登録・変更・削除などの更新に関わる権限を与える必要はありません。
選択肢ごとの解説
- ア誤り。管理者権限は，テーブルの参照・登録・変更・削除まで可能な過剰な権限であり，検索表示だけの機能には不要です。
- イ誤り。更新権限は，レコードの登録・変更・削除まで可能な過剰な権限であり，検索表示だけの機能には不要です。
- ウ誤り。更新権限と参照権限の組合せも，更新に関する権限が不要であり過剰です。
- エ正しい。検索して表示する機能だけであれば，レコードの参照が可能な参照権限を与えるだけで十分です。