【問48】情報・サイバーセキュリティ初級 練習問題｜異動者のアクセス権の見直し
紙媒体と社員による脅威 問8/20難易度B（標準）
問題文
営業部から総務部へ異動した社員のアクセス権の扱いとして、最も適切なものはどれか。
- 1.異動の発令に合わせて旧部署の権限を削除し、新部署の業務に必要な権限を手続きで付与する
- 2.引継ぎが落ち着くまでの慣例として、営業部の権限は1年間そのまま残しておく
- 3.営業部の業務を手伝えるよう、営業部と総務部の両方の権限を、異動後も期限を設けずに持たせ続ける
- 4.異動者本人が必要だと考えた権限は、申請や承認を経ずに自分で追加できるようにする
解説
正解は1。異動で担当業務が変わったのに旧部署の権限を残すと、使わない権限が積み重なり、不要な情報を閲覧できる状態が続く。JIS Q 27001（附属書A）とJIS Q 27002 は、雇用の終了や変更に伴って、アクセス権を削除または修正することを求めている。したがって、発令に合わせて旧部署の権限を削除し、新部署で必要な権限を所定の手続きで付与するのが適切である。2は誤り。慣例として1年間残す運用は、不要な権限を放置することになる。3は誤り。両部署の権限を恒久的に持たせると、権限が増える一方になり、最小権限の原則にも反する。4は誤り。本人の判断で権限を追加できると、申請と承認による統制が働かない。