アクセス管理の事例

権限の事例は「誰が何を見られるか」の一点に集まります

前回、事例文の前半には登場人物の役割が書かれていると確かめました。アクセス管理の事例は、その役割と、実際に与えられている権限のずれを見つける問題です。ずれは大きく3つの形で現れます。必要以上の権限が付いている、権限が消されずに残っている、そして権限そのものが人ではなくグループや共有アカウントに付いている、の3つです。

最小権限の原則という言葉があります。業務に必要な最小限の権限だけを与える、という考え方です。事例問題の答えは、この原則から外れている箇所であることがほとんどです。

事例を1つ読んでみます

中堅の通販会社である明和トレーディングでは、顧客情報を管理する販売管理システムを使っています。営業部の社員は担当地域の顧客だけを閲覧できる設定でしたが、繁忙期に他地域の応援に入ることが多く、そのたびに情報システム部へ設定変更を依頼する運用が負担になっていました。そこで情報システム部は、営業部全員を1つのグループにまとめ、そのグループに全地域の顧客情報の閲覧権限を与えました。あわせて、変更の申請はメールで部長へ送れば足りることとし、承認の記録は残していません。数か月後、退職した元社員が在職中に取得した顧客名簿を持ち出していたことが判明しました。

この文章から拾うべき点は3つあります。営業部全員が全地域を見られるようになったこと、承認の記録が残っていないこと、退職者の権限がいつ消されるのか書かれていないことです。

どこが原因かを切り分けます

出題者は、このうち1つを答えにします。設問が「顧客名簿の持ち出しを防ぐために有効な対策はどれか」であれば、持ち出せた理由に直接つながるのは1行目です。閲覧できる範囲が広すぎたから、担当外の顧客まで持ち出せました。承認の記録がないことは事後の追跡を難しくしますが、持ち出し自体を止めるものではありません。ここが選択肢の切り分けどころです。

ひっかけになりやすい対策

アクセス管理の事例では、次のような対策が選択肢に混ざります。どれも一般には正しい対策ですが、今回の原因に効くとは限りません。

• 通信経路を暗号化する。盗聴には効きますが、正規の権限で見た情報の持ち出しには効きません
• パスワードを複雑にする。なりすましには効きますが、本人が自分の権限で見る行為は止まりません
• ログを取得する。誰がやったかは分かりますが、権限が広いままなら閲覧は成立します
• 権限を職務ごとの役割に紐付け、担当地域の範囲でのみ閲覧できるようにする。原因に直接効きます

選択肢を切るときは、「その対策があったとして、本文の事故は起きなかったか」と1つずつ当てはめてください。起きてしまうものは、正しいことを言っていても答えではありません。

共有アカウントと退職者アカウント

もう1つ頻出なのが、複数人で1つのIDを使い回している事例です。この場合、ログを見ても誰の操作か分かりません。答えは「利用者ごとにIDを発行する」になります。退職者のアカウントが残っている事例では、退職手続きと権限削除が同じ流れでつながっているかどうかが問われます。月末にまとめて削除する運用は、退職日から月末までの空白を作るので不備です。