アクセス制御とは？

アクセス制御の意味

情報資産に対して「誰が」「何を」「どこまで」操作できるかを制限する仕組み。認証で本人確認をした後、その利用者に許された範囲の操作だけを許可することで不正利用や誤操作を防ぐ。

アクセス制御の具体例

経理部のファイルサーバでは、経理部員のみが給与データフォルダを読み書きでき、他部署の社員は参照すらできないよう設定する。

アクセス制御は試験でどう引っ掛けられる？

認証（本人かを確かめる）と認可（何をどこまで許すか）を混同しやすい。アクセス制御が担うのは認証の後の認可であって、「ログインできること」と「その操作が許されること」は別。したがって認証を強化してもアクセス権の設計が甘ければ内部からの不正は防げない。

アクセス制御と関連する用語

• 最小権限の原則
• 特権ID管理

アクセス制御が出た過去問

• アクセス制御を監査するシステム監査人の行為のうち、適切なものはどれか。

  正解：データに関するアクセス制御の管理規程を閲覧した。

  要点：監査人は閲覧して評価する側で業務自体は行わない

  システム監査人は独立した立場で客観的に評価する役割であり、被監査部門の業務そのものを行ってはならない。規程や記録を閲覧して整備・運用状況を確かめる行為は監査手続として適切だが、管理台帳の作成、方針の制定、運用手続の実施は被監査側の業務であり、独立性を損なう。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問40（IPA）

• 記憶媒体を介して，企業で使用されているコンピュータにマルウェアを侵入させ，そのコンピュータの記憶内容を消去した者を処罰の対象とする法律はどれか。

  正解：刑法

  要点：マルウェアによる破壊行為は刑法で処罰される

  マルウェアを侵入させてデータを消去する行為は、刑法の電子計算機損壊等業務妨害罪や電磁的記録毀棄などの規定で処罰の対象となる。不正アクセス禁止法はネットワーク経由で識別符号を悪用するなどしてアクセス制御を突破する行為を対象とするため、記憶媒体を直接使った今回の手口には当てはまらない。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問32（IPA）

• 企業において業務で使用されているコンピュータに、記憶媒体を介してマルウェアを侵入させ、そのコンピュータのデータを消去した者がいたとき、その者を処罰の対象とする法…

  正解：刑法

  要点：媒体経由のマルウェアによるデータ消去は刑法で処罰される

  記憶媒体経由でマルウェアを侵入させてデータを消去する行為は、刑法の電子計算機損壊等業務妨害罪や電磁的記録不正作出・毀棄などの規定で処罰の対象となる。不正アクセス禁止法はネットワーク経由で他人の識別符号等を使ってアクセス制御を突破する行為を対象とするため、本問の事例には当たらない。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問31（IPA）

• クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され、技術面及び運用面の要件を定めたものはどれか。

  正解：PCI DSS

  要点：PCI DSSはカード会員データ保護のための具体的要件

  PCI DSSは、国際的なカードブランドが共同で策定した、カード会員データを取り扱う事業者向けのセキュリティ基準である。ネットワーク構築、データ保護、アクセス制御、監視、脆弱性管理などの要件を具体的な技術・運用レベルで定めている点が特徴で、加盟店や決済代行業者が準拠を求められる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問26（IPA）

• WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストの説明のうち、適切なものはどれか。

  正解：ブラックリストは、問題がある通信データパターンを定義したものであり、該当する通信を遮断又は無害化する。

  要点：WAFは通信パターンの黒白リストで攻撃を遮断する

  WAFはWebアプリケーションへの通信内容を検査する仕組みで、ブラックリスト方式は攻撃に特徴的なパターンを定義しておき、合致した通信を遮断または無害化する。逆にホワイトリスト方式は正常と判断できる通信パターンだけを許可する。どちらもIPアドレスやFQDNの良し悪しを登録するものではない点に注意する。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問29（IPA）