【問263】個人情報保護士 練習問題｜アクセス制御

解説

正解

正解は選択肢2です。

各選択肢の解説

選択肢1 → ❌誤り

任意アクセス制御（DAC: Discretionary Access Control）は、リソースの所有者が自らの判断でアクセス権限を設定・変更できる方式です。利用者自身が権限を変更できるため、設問の条件に合致しません。

選択肢2 → ✅正解

強制アクセス制御（MAC: Mandatory Access Control）は、システム管理者またはセキュリティポリシーに基づいて一元的にアクセス権限が設定され、利用者自身が変更できない方式です。軍事機関や高セキュリティ環境で採用されます。

選択肢3 → ❌誤り

ロールベースアクセス制御（RBAC）は、組織内の役割（ロール）に基づいてアクセス権限を付与する方式です。管理者がロールを設定しますが、設問が求める「一元的かつ利用者が変更不可」という特徴を最も正確に表す概念はMACです。

選択肢4 → ❌誤り

属性ベースアクセス制御（ABAC）は、利用者の属性（所属部署、役職、時間帯など）に基づいて動的にアクセス権限を制御する方式です。柔軟性が高いですが、設問の趣旨とは異なります。

背景知識

アクセス制御は情報セキュリティの基盤となる技術であり、「誰が」「何に」「どのような操作を」行えるかを制御します。DACは柔軟性が高い反面、利用者の判断ミスによるセキュリティリスクがあります。MACは厳格な管理が可能ですが、運用の柔軟性は低くなります。RBACは組織の役割に基づく管理で、企業環境で広く採用されています。ABACはさらに多くの属性を組み合わせた高度な制御を実現します。個人情報保護においては、適切なアクセス制御の実装が安全管理措置の重要な要素となります。

学習アドバイス

DAC・MAC・RBAC・ABACの4つのアクセス制御方式について、それぞれの特徴と適用場面を比較表にまとめて整理しましょう。特に「誰が権限を設定するか」「変更の柔軟性」に注目すると理解が深まります。

まとめ

• MACはシステム管理者が一元管理し、利用者は権限を変更できない
• DACは所有者自身が権限を設定・変更可能
• RBACは役割に基づく権限付与で企業環境に適する