サンプル問題 [科目B]問20
問20
A社は栄養補助食品を扱う従業員500名の企業である。A社のサーバ及びファイアウォール(以下，FWという)を含む情報システムの運用は情報システム部が担当している。
ある日，内部監査部の監査があり，FWの運用状況について情報システム部のB部長が図1のとおり説明したところ，表1に示す指摘を受けた。
B部長は表1の指摘に対する改善策を検討することにした。
設問 表1中の指摘1について，FWルールの誤った変更を防ぐための改善策はどれか。解答群のうち，最も適切なものを選べ。
ある日，内部監査部の監査があり，FWの運用状況について情報システム部のB部長が図1のとおり説明したところ，表1に示す指摘を受けた。
- FWを含め，情報システムの運用は，情報システム部の運用チームに所属する6名の運用担当者が担当している。
- FWの運用には，FWルールの編集，操作ログの確認，並びに編集後のFWルールの確認及び操作の承認(以下，編集後のFWルールの確認及び操作の承認を操作承認という)の三つがある。
- FWルールの編集は事前に作成された操作指示書に従って行う。
- FWの機能には，FWルールの編集，操作ログの確認，及び操作承認の三つがある。
- FWルールの変更には，FWルールの編集と操作承認の両方が必要である。操作承認の前に操作ログの確認を行う。
- FWの利用者IDは各運用担当者に個別に発行されており，利用者IDの共用はしていない。
- FWでは，機能を利用する権限を運用担当者の利用者IDごとに付与できる。
- 現在は，6名の運用担当者とも全権限を付与されており，運用担当者はFWのルールの編集後，編集を行った運用担当者が操作に誤りがないことを確認し，操作承認をしている。
- FWへのログインにはパスワードを利用している。パスワードは8文字の英数字である。
- FWの運用では，運用担当者の利用者IDごとに，ネットワークを経由せずコンソールでログインできるかどうか，ネットワークを経由してリモートからログインできるかどうかを設定できる。
- FWは，ネットワークを経由せずコンソールでログインした場合でも，ネットワークを経由してリモートからログインした場合でも，同一の機能を利用できる。
- FWはサーバルームに設置されており，サーバルームにはほかに数種類のサーバも設置されている。
- 運用担当者だけがサーバルームへの入退室を許可されている。
設問 表1中の指摘1について，FWルールの誤った変更を防ぐための改善策はどれか。解答群のうち，最も適切なものを選べ。
- Endpoint Detection and Response(EDR)をコンソールに導入し，監視を強化する。
- FWでの運用担当者のログインにはパスワード認証の代わりに多要素認証を導入する。
- FWのアクセス制御機能を使って，運用担当者をコンソールからログインできる者，リモートからログインできる者に分ける。
- FWの運用担当者を1人に限定する。
- 運用担当者の一部を操作ログの確認だけをする者とし，それらの者には操作ログの確認権限だけを付与する。
- 運用担当者を，FWルールの編集を行う者，操作ログを確認し，操作承認をする者に分け，それぞれに必要最小限の権限を付与する。
- 作業を行う運用担当者を，曜日ごとに割り当てる。
分類
情報セキュリティ » 情報セキュリティ
正解
カ
解説
情報システム部のB部長がした説明のひとつに「現在は，6名の運用担当者とも全権限を付与されており，運用担当者はFWのルールの編集後，編集を行った運用担当者が操作に誤りがないことを確認し，操作承認をしている」とあります。同一人物がFWの編集と操作承認をできてしまう現状の運用では、運用担当者の不正・誤り・誤謬等の検知をすることができないので、適切な内部統制が行われているとは言えません。これが職務分離上の問題点となります。
この問題を改善するためには、同一人物が編集と操作承認を行うことができないように、FWルールの編集業務に係る編集、確認、承認の権限を別の人に振り分けることが必要です。したがって「カ」が適切な改善策となります。
この問題を改善するためには、同一人物が編集と操作承認を行うことができないように、FWルールの編集業務に係る編集、確認、承認の権限を別の人に振り分けることが必要です。したがって「カ」が適切な改善策となります。
- 誤り。EDR(Endpoint Detection and Response)は、PC、スマートフォン、サーバなどのネットワークの末端（エンドポイント）に導入するセキュリティソフトウェアで、導入された機器の状況や挙動ログを監視し、不審な挙動があれば管理者に通知する仕組みを持っています。コンソール端末への不正ログインやマルウェアの活動に対しては効果的ですが、1人が編集と操作承認ができることは変わらないので不適切です。
- 誤り。他の運用担当者になりすまして操作が行われるリスクへの対策ですが、職務分離とは関係ありません。
- 誤り。1人が編集と操作承認ができることは変わらないので不適切です。
- 誤り。1人に権限が集中すればさらに不正等が発生するリスクは高まります。
- 誤り。全権限を有している人が1人でもいれば、編集と操作承認を行えることに変わりはないので不適切です。
- 正しい。FWルールの編集業務に係る権限を別の人に適切に振り分けることが適切です。
- 誤り。職務の分離は、運用担当者のスケジュールを調整することではなく、職務内容と権限を適切に分けることです。曜日ごとに担当者を分けても1人が編集と操作承認ができることは変わりません。