重要度：B 論点：特権ID管理
問26：緊急時に備えて、サーバの特権IDのパスワードは運用チームの全員で共有しておくのがよい。
解答を見る
×：特権IDのパスワードを運用担当者全員で常時共有するだけでは、操作した個人の識別と責任追跡が困難になる。利用者を必要最小限に限定し、個人単位の認証、申請・承認、利用時間の制限、操作ログ、定期点検を組み合わせる。共用の緊急時用IDを設ける場合も、貸出し記録や利用後のパスワード変更などによって利用者を追跡できるようにする。
重要度：B 論点：職務分離・相互牽制
問27：申請、承認、実行、確認を複数の担当者に分ける職務分離は、1人による不正や誤りを抑止し、発見しやすくする対策である。
解答を見る
○：重要な処理や権限付与を1人で完結できない仕組みにすると、不正の機会が減り、相互の確認が働く。定期的なジョブローテーションを組み合わせると、長期担当による不正の隠蔽も後任の目で発見しやすくなる。
重要度：C 論点：監視の相当性
問28：内部不正防止のためであれば、利用目的や法令、プライバシーへの配慮を確認せず、従業員の全ての行動を秘密裏に無制限で監視してよい。
解答を見る
×：監視は、目的、対象、取得情報、保存期間、閲覧権限及び利用条件を規程で定め、必要性と相当性を確認し、法令、就業規則、社内規程及びプライバシーに配慮して実施する。通常の継続監視では、原則として従業員に目的やルールを明示・周知する。個別の不正調査を行う場合も、法令、規程、必要性及び相当性に基づいて実施する。
重要度：C 論点：退職者対策
問29：従業員から秘密保持の誓約を取得していれば、退職時のアカウント停止や貸与物の回収、持込持出の管理などの対策は不要になる。
解答を見る
×：誓約は事後の責任追及の根拠にはなるが、アクセスや持出しそのものは防げない。退職日に合わせたアカウントの停止・削除、貸与機器や媒体の回収、持込持出の申請制などの技術的・組織的対策と組み合わせる。
重要度：C 論点：セキュリティクリアランス
問30：セキュリティクリアランスとは、重要な情報を取り扱う者について、あらかじめ信頼性を確認したうえで取扱いの資格を与える仕組みである。
解答を見る
○：セキュリティクリアランスは、重要情報へのアクセスを認める前に、対象者の適格性や信頼性を確認する仕組みを広く指す。実際のアクセスには、これに加えて職務上の必要性（need-to-know）と権限付与が必要である。重要経済安保情報を扱う者への適性評価のような法制度もあるが、この用語が常に特定の法制度だけを指すとは限らない。職務や取扱情報が変わった場合は、適格性の確認結果とアクセス権限を見直す。
コメント