【問266】個人情報保護士 練習問題｜アクセス制御の実装

解説

正解

正解は選択肢3です。

各選択肢の解説

選択肢1 → ❌誤り（適切な記述）

最小権限の原則（Principle of Least Privilege）は、アクセス制御の基本原則であり、業務上必要最小限の権限のみを付与することでリスクを低減します。

選択肢2 → ❌誤り（適切な記述）

退職者のアカウント管理は重要な安全管理措置です。速やかに無効化しないと、退職者による不正アクセスのリスクが生じます。

選択肢3 → ✅正解（不適切な記述）

システム管理者であっても、全てのデータへの常時アクセス権限を付与することは適切ではありません。管理者権限の濫用を防ぐため、必要な場合に限定したアクセスや、特権ID管理の仕組みを導入すべきです。

選択肢4 → ❌誤り（適切な記述）

アクセスログの記録・保存は、不正アクセスの検知や事故発生時の調査に不可欠です。個人情報保護法のガイドラインでも推奨されています。

背景知識

個人情報を取り扱う情報システムでは、最小権限の原則に基づくアクセス制御が求められます。特に特権IDの管理は重要であり、管理者であっても必要時以外は通常権限で運用する「特権ID管理」の考え方が普及しています。また、職務分掌（Separation of Duties）の観点から、データの閲覧者と管理者の権限を分離することも重要です。アクセスログの記録は事後追跡を可能にし、抑止効果も期待できます。

学習アドバイス

最小権限の原則と特権ID管理の概念を押さえましょう。「管理者だから全権限」という考えは誤りであり、管理者権限こそ厳格に管理すべきという点が試験で問われます。

まとめ

• 最小権限の原則は全ての利用者（管理者含む）に適用される
• 退職者アカウントの速やかな無効化は必須の安全管理措置
• 特権IDは必要時に限定して使用し、常時付与は避ける