情報セキュリティマネジメント試験 無料問題 4 / 10 ・ 分野1: セキュリティ
組織における内部不正防止ガイドライン第5版の基本5原則で、共有アカウントを廃止して利用者ごとの ID に切り替える対策が当たる原則はどれか。
- 犯罪の弁明をさせない
- 犯行を難しくする
- 犯行の見返りを減らす
- 捕まるリスクを高める
正解と解説を見る
正解: D
正解の理由
同ガイドラインの付録Ⅵでは、「捕まるリスクを高める（やると見つかる）：管理や監視を強化することで捕まるリスクを高める」の下に「匿名性を減らす」があり、その対策例に ID 管理、共有アカウント廃止、台帳による持出し管理が挙がる。共有アカウントでは誰が操作したかを特定できないが、個人ごとの ID にすればログから行為者を特定でき、やると見つかる状態になる。
違う選択肢
「犯行を難しくする」… 犯行を難しくするの対策例は、アクセス制御やパスワードポリシーの設定、退職者の ID 削除などである。ID を分けても操作できる範囲は同じで、狙いは行為者を特定できるようにすることにある。
「犯行の見返りを減らす」… 犯行の見返りを減らすは、標的を隠す・排除する、暗号化で利益を得にくくするなどの原則である。共有アカウントの廃止は見返りを減らす対策として挙がっていない。
「犯罪の弁明をさせない」… 犯罪の弁明をさせないは、規則の策定や誓約書、周知など、正当化の理由を消す原則である。ID を個人ごとにするのは、言い訳を封じるためではなく行為者を特定するためである。
押さえどころ
「アクセスできる人を絞る」は犯行を難しくする、「誰がやったか分かるようにする」は捕まるリスクを高める。同じ ID 管理でも狙いで分類が変わるので、対策の目的で考える。