平成31年度 春期 情報セキュリティマネジメント試験 午前 問25

解説

情報セキュリティ上は，アカウントの役割に応じて必要最小限の権限だけを付与する最小権限の原則に従うべきです。データ構造の定義用アカウントはテーブルの作成・削除などのDDL操作を行うためのものであり，日々のデータのレコード更新権限までは不要です。一方，データの入力・更新用アカウントにはレコードの更新権限が必要ですが，テーブル自体の作成・削除権限までは不要です。

選択肢ごとの解説

• ア誤り。データ構造の定義用アカウントにレコードの更新権限を与えると，本来不要な権限まで付与することになり，最小権限の原則に反します。
• イ正しい。データ構造の定義用アカウントにはテーブルの作成・削除権限のみを付与し，レコードの更新権限を与えないことは，最小権限の原則にかなった組合せです。
• ウ誤り。データの入力・更新用アカウントにテーブルの作成・削除権限まで与えると，不要な権限を付与することになり，最小権限の原則に反します。
• エ誤り。データの入力・更新用アカウントには本来レコードの更新権限が必要であり，これを与えずにテーブルの作成・削除権限だけを与えるのは業務上不適切かつ最小権限の原則にも反します。