平成28年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：不正アクセスを見つけるには“入退室記録”を見るイメージだよ

データベースへの不正アクセスを防いだり見つけたりできているかを監査するなら、実際に誰がいつ何にアクセスしたかという利用者のアクセス記録を出力して確認するのが有効だよ。建物の警備で、鍵の仕組みだけでなく入退室ログを見て怪しい出入りがないか調べるようなものだね。

この問題で問われていること

この問題で見たいのは、業務が速いか、応答時間が短いかではなく、不正アクセスの防止や発見につながる監査証拠を選べるかどうかだよ。つまり、“ちゃんと見張れているか”を確認できる材料を選ぼう。

監査で見るべき証跡

アクセスログを見れば、誰がいつ何にアクセスしたかを追跡でき、権限逸脱や不審操作の有無を確認しやすい。

アクセス記録を出力\n内容を調査\n-> 不正アクセス統制を確認

確認ポイント

• 業務効率や操作ミスしにくさの評価は設問の主眼ではありません。
• 応答時間測定もアクセスコントロール準拠確認の本筋ではありません。
• アクセス記録の内容調査を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。システム仕様書を見るだけでは、実際に業務が効率よくなっているかは分からないよ。料理本を読んだだけで料理がおいしくできたか判断できないのと同じで、今回の目的である不正アクセスの防止・発見の確認にも直接つながらないよ。

選択肢イ

これは不正解だよ。画面の操作がミスしにくいかを利用者に聞くのは、銀行ATMのボタン配置が分かりやすいかを確認するような話だね。今回のテーマは「不正アクセスを防げているか・見つけられるか」なので、操作性の確認では目的がずれているよ。

選択肢ウ

これは不正解だよ。応答時間を測るのは、窓口で呼ばれるまで何分かかるかをストップウォッチで測るようなものだね。便利さや速さの確認にはなるけど、合鍵を持っていない人が入っていないかを調べる監査ではないよ。

選択肢エ（正解）

これは正解だよ。アクセス記録を見るのは、建物の入退室記録を確認して「誰が、いつ、どの部屋に入ったか」を調べるようなものだね。不正アクセスの防止・発見では、許可された人だけが使っているか、怪しい利用がないかをログで確認するのがぴったりだよ。