平成27年度春期 システム監査技術者 午前Ⅱ 問21

要件の関係を整理する視点

各記述を個別に暗記で判断せず、保護対象、適用される範囲、求められる管理の目的が同じ軸で説明されているかを見比べ、記述どうしの役割と全体の整合性を確認しましょう。

この問題で問われていること

一つの記述に注目し、対象となる情報や環境、実施主体、確認の観点が互いに矛盾なく対応しているかを整理し、他の要素との関係から要件の位置づけを丁寧に考えてください。

視点

要件を読むときは、まず何を守るための記述なのかという目的を捉え、次に対象範囲と責任の所在を切り分けます。そのうえで、管理・運用・検証のどの観点を述べているかを対応づけ、表現の細部だけで即断しないようにします。

確認ポイント

• 保護対象と適用範囲が、記述の内容と自然に対応しているか
• 実施する主体と、求められる管理の目的を分けて読めているか
• 運用上の措置と、その有効性を確かめる観点を混同していないか

正解

ウ

解説

PCI DSSのセキュリティ要件では、パスワードを伝送中及び保存中に暗号化し、解読できない状態にすることが適切です。

理由

正しいのはウです。設問の選択肢の中では、伝送中及び保存中のパスワードを暗号化して解読不能にする内容が、認証情報を保護する要件に合致する。

比較

アは一般利用者のアクセスログを取得しない点、イは利用者IDとパスワードだけでリモートアクセスを認証する点、エは未使用IDの処理を年1回に限定する点が適切ではありません。

選択肢ア

これは不正解だよ。管理者のアクセスログだけを取得し、一般利用者のアクセスログを取得しない内容は、利用者のアクセス状況を十分に記録・監視できない。プライバシを理由に一般利用者の記録を一律に省略することは、PCI DSSのアクセス管理の考え方に適合しない。

選択肢イ

これは不正解だよ。ネットワーク外部からのリモートアクセスを許可する場合に、管理者以外の従業員を利用者IDとそのIDのパスワードだけで認証する内容は不十分である。外部からの接続では、単一の認証情報だけに依存しない管理が求められる。

選択肢ウ（正解）

これは正解だよ。伝送中及び保存中のパスワードを暗号化して解読不能にする内容は、認証情報が通信経路や記憶媒体から漏えいするリスクを抑える。パスワードを保護する方法として、四つの選択肢の中で適切である。

選択肢エ

これは不正解だよ。利用されない利用者IDの削除及び無効化を1年に1回まとめて行うだけでは、不要なアカウントが長期間有効なまま残る可能性がある。利用者IDのライフサイクルを適切に管理する内容とはいえない。

学習のポイント

アクセス管理、認証、パスワード保護、利用者ID管理の基本要件を比較して理解する。