情報システム部では、ファイアウォールの通信許可ルールの変更を1人の担当者が受け持っており、 変更の要否の判断から設定作業、作業後の確認までを、その担当者だけで済ませている。 この運用の見直しとして、最も適切なものはどれか。

正解：ウ

各選択肢の解説

1. ア変更の手順書を詳しく定め、担当者が手順書に沿って作業するようにする。

   誤り。手順書は作業の誤りを減らすのに役立ちますが、判断から確認まで1人で完結する形は残ります。 手順を外れた変更や不要な許可ルールが加わっても、ほかに気づく人がいません。 どうやるかを決めることと、誰が担うかを分けることは別の対策です。

2. イ設定変更の操作ログを取得し、一定期間保存するようにする。

   誤り。ログは後から何が行われたかをたどる材料になりますが、記録を残すだけです。 誰も見なければ不適切な変更は見逃されたままで、ログの点検まで同じ担当者が行うなら 状況は変わりません。記録の取得と、別の人が確かめる仕組みは区別します。

3. ウ変更の承認と作業後の確認を、作業する担当者とは別の者が行うようにする。

   正解。職務の分離です。承認・作業・確認を別の人に分ければ、1人の誤りや不正が ほかの人の目を通らずに通ってしまうことを防げます。

4. エ担当者を、ファイアウォールの設定に習熟した経験の長い者に限る。

   誤り。熟練者に限れば単純な誤りは減るかもしれませんが、1人で完結する構造はそのままです。 熟練者でも思い込みによる誤りは起こり、権限を悪用されたときに止める人もいません。 人を信頼することと、仕組みで確かめることは別の話です。

理解を深めるために