問54
頻出度★★★
ファイルサーバの運用管理に関する記述 a～d のうち, セキュリティ対策として有効なものだけを全て挙げたものはどれか。 a アクセスする利用者のパスワードを複雑かつ十分な長さに設定する。 b 許可された IP アドレスの PC だけからアクセスできるように設定する。 c ゲストユーザにもサーバへアクセスできる権限を与える。 d サーバのアクセスログを取得し, 定期的に監査する。
平成26年度 春期 ITパスポート試験 問54
この問題の解説と、これまでの解答の記録です。
解説
問 54セキュリティ対策の有効性は「予防」と「発見」の二面で考える
- ア
正解 正解はア「a, b, d」。ファイルサーバのセキュリティ対策として有効かどうかは、「不正なアクセスを防ぐ (予防) か、起きた不正を検知・追跡できる (発見) か」で判断する。a はパスワードを複雑かつ十分な長さにする施策で、辞書攻撃や総当たり攻撃 (ブルートフォース) による推測を困難にするので有効である。b は接続元を許可された IP アドレスの PC に限定する設定で、たとえ利用者 ID とパスワードが漏えいしても、社外や未許可の端末からは接続できなくするアクセス制御として有効である。d はアクセスログを取得して定期的に監査する施策で、それ自体は侵入を止めないが、不正アクセスや権限外の操作を後から発見し、原因究明や再発防止につなげる「発見的統制」として有効であり、監査されるという意識が不正の抑止にもなる。一方 c だけは、本来アクセスを限定すべきサーバに対しゲストユーザ (不特定・匿名に近い利用者) にまでアクセス権を与えるもので、必要な人に必要な権限だけを与える最小権限の原則に反し、セキュリティを弱めてしまう。したがって有効なものは a, b, d の三つであり、それを過不足なく挙げたアが正解となる。
不正解イ
「a, d」は有効なものだけを挙げてはいるが、同じく有効な b が抜けている。b の「許可された IP アドレスの PC だけからアクセスできるように設定する」は、接続元の端末を限定してアクセスを制御する典型的なセキュリティ対策であり、除外する理由がない。設問は有効なものを「全て」挙げた選択肢を求めているので、不足があるイは正解にならない。
不正解ウ
「b, c」は、対策として有効な b を含む一方で、セキュリティを弱める c を有効なものとして数えている点が誤りである。ゲストユーザにまでサーバへのアクセス権を与えることは、アクセスできる利用者の範囲を不必要に広げる行為であり、対策どころか脅威を増やす。さらに有効な a と d も抜けている。
不正解エ
「b, d」はどちらも有効な施策だが、a の「パスワードを複雑かつ十分な長さに設定する」が抜けている。パスワードの強化は利用者認証を破られにくくする基本的かつ効果的な対策であり、有効なものから外すことはできない。有効なもの全てを挙げるという条件を満たさないため誤りである。
ここがポイント
- セキュリティ対策の有効性は「予防」と「発見」の二面で考える。パスワードの強化 (認証の強化) や接続元 IP アドレスによる制限 (アクセス制御) は不正アクセスを未然に防ぐ予防的対策、アクセスログの取得と定期的な監査は不正を後から検知・追跡する発見的対策で、いずれも有効である。
- アクセス権は最小権限の原則に従い、業務上必要な利用者に必要な範囲だけを与える。ゲストユーザなど不特定の利用者にアクセス権を広げることは対策ではなくリスク増大であり、「a〜d のうち有効なものを全て挙げよ」という形式の問題では、有効なものの過不足がない選択肢を選ぶ点にも注意する。
用語