【セキュマネ】平成28年度春午後問2の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成28年度春科目B問2を解説します。

権限の運用（追加, 代行, 応援）に特化した問題でした。”職務分掌”と”最小権限の原則”に注意しつつ、実務面で厳重だけど面倒ではない理想策を選ぶ印象。

難しくはないですが、ちょいちょい失点はあるかも、特に設問1(3)b+1(4)は、わざとイマイチな対策を選ばせるのが、個人的には”資格試験としてどうなぁ”と思いました。

独学では、深追いの判断が重要です。復習が浅いと、折角の過去問演習を本試験の初見解きに生かせません。逆に深追いするのが無駄な問題もあります。

過去問を膨大に解いたからこそ分かる力加減。受験生には困難なので、私みたく合格者＋講師＋過去問分析の経験がキラリと光る場面✨だと思っています。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1) | 職務分掌

正答は、オ（方針3）。
方針3：ある利用者が入力した情報を、別の利用者が承認する

下線①前からの流れ。販売責任者（=承認権限）がN課長だけで大変かもだから、販売担当者（=入力権限）に承認権限を追加した時、下線①「利用方針に違反」する話。

「利用方針」は12頁頭。[方針3]に、入力と承認の手続きを別人がする旨あり。

「職務分掌」は、権限や役割を別の人に分離して、ミスや不正を防ぐ工夫。Iパス/SGで出題実績あり。
＞【SG】平成30年度秋午後問1設問2の解説Note
＞【SG】平成29年度春午後問2設問2(1)eの解説Note
＞【Iパス】法律⓬B：内部統制（職務分掌）Note

設問1(2) | 不正/誤入力を防ぐ職務分掌

正答は、エ（不正入力された注文が承認されてしまう）。

設問1(1)で、担当者に入力と承認権限がついてしまう問題に気づきました。

模範解答は理解できます。担当者が不正な注文を入力して、自分で承認を通しちゃえます。

また不正だけでなく、”誤入力”などのミスも通ってしまいます。注文数を一桁間違えたり（wikipedia：ジェイコム株大量誤発注事件）。

職務分掌は、不正/誤入力の”発見”だけでなく、”別の人に見られている”状況が”やったらバレる”の”相互けん制”になります。不正する気持ち/行為を踏み止まる効果あり。＞【Iパス】法律⓬B：内部統制（職務分掌）Note

設問1(3)a,b,(4) | わざと劣化させる悪問

正答は、

オ（他利用者IDが入力した注文だけを承認できる権限を追加）
イ（B社利用者IDが入力した注文だけを承認できる権限を追加）
ウ（A社販売責任者ロールの1人が入力し、別の1人が承認できるから）。

解き方は色々な筋があるでしょうから、模範解答の理解をします。

【空欄a】は半端な改善策、【空欄b】が理想策。理想策の【空欄b】からが、私は考え易いです。手心を加えて半端にするの面倒。

13頁末理想から【空欄b】策を考えます。
A社販売担当者（=入力権）に、B社の販売入力への承認権限を追加する旨。ただし、A社の販売入力の承認権限は持たせたくない（今まで通りA社責任者が承認する）。
【空欄b】は理解できます。イ（B社利用者IDが入力した注文だけを承認できる権限を追加）。

”半端な改善案を問う問題”は出てます。個人的には良くない作問だと思います。次回Noteでも出ます。＞【SG】平成28年度春午後問3設問4(2)fの解説Note＊

次は刃こぼれした対策の【空欄a】。
【空欄a】は、[要求2=A社入力の承認は従来通りA社責任者]を満たせない策。オ（他利用者IDが入力した注文だけどを承認できる権限を追加）すると、A社担当者入力をA社責任者が従来通り承認できますが、A社担当者の入力を別A社担当者も承認できてしまいます。B社IDの入力への承認は満たしますが。
続いて下線②は、ウ（A社販売責任者ロールの1人が入力し、別の1人が承認できるから）。同僚による内部不正ですね。

おまけ | アが気になる

前節の模範解答が理解できたらスキップして大丈夫です。ここではゴチャゴチャ書きますので。

選択肢を見ると、私はアが気になりました。

• ア：A社販売責任者ロールのIDを二つにする
  ➡○寄り。良い気がします。ただ誰にIDを割り当てるか。例えば次に責任者に出世しそうな担当者を一人選んで、責任者ロールを与え＋担当者ロールから除外するとか。ただ[要件1]の「A社が承認する」は、”A社担当者が承認する”って意味に取れるのでダメなのかなぁ。

• イ：B社Jシステム担当者orB社管理者の入力だけを承認する権限を新設する
  ➡○。表1を見る通り、B社両ロールの入力をA社担当者が承認するのは理想的。A社責任者の承認業務の軽減もできます。【空欄b】。

• ウ：承認したい注文を検索できる機能を追加する
  ➡✖。「承認したい注文」が不明瞭。正しい入力なら全て承認しないと、注文したお客さんが困りますね。

• エ：承認できるIDを、入力者が指定できるようにする
  ➡✖。責任者以外のID、ましてや自IDを指定できたら、内部不正できますね。責任者IDの意味がなくなります。

• オ：他利用者IDが入力した注文だけを承認できる権限を追加
  ➡✖。B社両ロールの入力承認を出来るのはOK。でもA社担当者間での入力/承認の内部不正ができちゃうのでダメ。【空欄a】。

以上より、一番良いのはイ（=空欄b）。

次点はア。[要求2]も満たせてて【空欄a】には不適切。良い策なのに。
【空欄b】は、アorイの線もありますが、[要求1]から不適切なのかなぁと。

【空欄a】のために、オを挙げるしかないです。ウとエがダメすぎなので。

こう見ると、【空欄b】=アで失点した方は可哀そうだと思います。問題が悪いです。わざとダメな策も解答させるとか。理想的な対策だけで良いですよね。複数手法の比較表の問題ならまだアリだとは個人的に思います。

他にも設問1(4)の選択肢との組合せで決めるしかないかな。ゴチャゴチャ解説しても仕方ないので、正解できたらOKとします。良くない問題だと思います。

設問1(5) | ID/個人に入力/承認権限を揃えない

正答は、エ（N課長の上長に代行を依頼し、代行者の利用者IDを登録し、"A社販売責任者"ロールを設定する）。

下線③はN課長不在時の代行の話。

• ア：A社責任者ロールのIDを発行し、A社担当者の一人が代行する。
  ➡✖。A社担当者がIDを二つ持つので、12頁[方針1=1利用者に1ID]に反します。またA社担当者ID（=入力）と代行ID（=承認）を持つので、内部不正もできます。＞法律⓬B：内部統制（職務分掌）Note

• イ：代行者（A社担当者ID=入力）に責任者ロール（=承認）を追加する。
  ➡✖。個人に入力/承認権限が揃い内部不正ができます。＞法律⓬B：内部統制（職務分掌）Note

• ウ：N課長のID/PWDを別課長に貸す。
  ➡✖寄り。自ID/PWDを他人に教えるのでダメ。出張から帰る度にPWDを変える措置をしてもキビシイでしょう。問題文に規定はないですが、×でしょう。△にもできませんでした。

• エ：N課長の上長に、利用者ID+販売責任者を発行する
  ➡○寄り。新ID, 個人に入力/承認の両権限が付かないのでOK。上長に代行してもらうので信頼できるかなぁと。ただし代行期間以外は、代行IDを無効化した方が良いですね。日常的に、N課長が知らぬ時に上長が承認できるは良くないなぁと、○断定できませんでした。

以上より、一番マシなエを採用。

私だったら前節設問1(3)aアの応用で、次に責任者に出世しそうな担当者を一人選んで、責任者ロールを与え＋担当者ロールから除外かなぁ。通常時も二人体制にします。

設問1(6) | 応援=○J入力, ×J承認

正答は、イ（”B社Tシステム担当者”と"B社Jシステム担当者"を併せ持つ新ロールを定義し、応援者の利用者IDに設定）。

下線④は、問合せ担当者（T入力）が、受注管理業務（J入力）の応援すること。

ア：応援時の貸出用利用者IDを設け～
➡✖。貸出用IDを共有するので、[方針2=1IDに1人]に反する。貸出用IDを応援終了後に無効化+PWD再設定するなど措置もしたい。でも[方針2]に反するのでダメ。

イ：T担当者（T入力）とJ担当者（J入力）を持つ新ロールを定義し、応援者となるIDに追加する。
➡○。応援業務（J入力）できるのでOK。承認権限も一切持ってないのでOK。応援時以外もJ入力できるのが何か嫌ですが、承認されないってことでしょう。

ウ：応援者のIDに、B管理者（=T承認）ロールを付与。
➡✖。応援業務（J入力）が出来ない。更にT入力/T承認が揃うのでダメ。＞法律⓬B：内部統制（職務分掌）Note

エ：応援時にロールをJ担当者に切り替える
➡○寄り。良さそう。個人的には好きです。ただ応援は日常的で下線④前「問合せ数が少ない時間に」と未定な感じ。都度B社からA社に切り替え依頼があるのも運用的に面倒だなぁと。また、気づかないですが12頁中盤「ロール設定を情報システム部に依頼～翌営業日の朝5時に～反映される」から、当日に”応援できます”は無理ですね。前日に”明日応援する”と申請せねばだし、前日に”応援できる”なんて問合せ数次第なので分かりません。

以上より、イとエが候補。”応援”が日常的/未定・ロール設定をB社からA社に申請する面倒さなどを考えて、イ（予め設定）が良く、エ（切り替えの機動性）は無理かなと。

設問2(1)c | 明記の手続きに従う❶

正答は、エ（業務委託先の管理者から提出された利用者情報に基づき、利用部署長が情報オーナ部署長に申請する）。

【空欄c】(4)「利用部署が、業務委託先要員への閲覧権限付与」をするには、(3)「利用部署の希望によって閲覧権限を付与する場合」の「利用部署の長が～情報オーナ部署長に申請して承認を得る」とあり。

業務委託先からの希望を、自社の部署長がリレーで申請するしか。

エ（業務委託先の管理者から提出された利用者情報に基づき、利用部署長が情報オーナ部署長に申請する）。

他選択肢も全て"（3）に違反”で片付きます。各選択肢の違反箇所をみていきます。