営業部の顧客管理システムでは、営業部長の承認を得てからアクセス権を付与している。 点検したところ、終了したプロジェクトの応援者や、契約が終わった委託先の要員の権限が 1年以上残っていた。再発防止策として最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア営業部長が定期的に権限の一覧を見直し、不要な権限を削除させる。

   正解。アクセス権は付与して終わりではなく、定期的に見直して不要になったものを外します。 業務の要否を判断できる営業部長が一覧を確認すれば、残った権限に気づけます。

2. イ付与の申請に、営業部長に加えて情報システム部長の承認も必要にする。

   誤り。承認者を増やすと付与のときの審査は厳しくなりますが、問題は付与した後です。 付与の時点では正当だった権限が、プロジェクトや契約の終了で不要になったのに残っていました。 入口の審査と、その後の見直しは別の手続です。

3. ウ利用者全員のパスワードに有効期限を設け、定期的に変更させる。

   誤り。これは認証情報の管理の話です。パスワードを変えさせても、権限そのものは残ります。 本人が変更すれば使い続けられるので、不要な権限が残る状態は解消しません。 本人確認の手段と、何をしてよいかの権限は分けて考えます。

4. エ顧客管理システムへのアクセスの記録を取得し、一定期間保存する。

   誤り。ログ取得は、誰がいつアクセスしたかを後からたどるための対策です。 不要な権限が使われたときの調査には役立ちますが、権限が残ること自体は防げません。 記録を残すことと、権限を外すことは区別します。

理解を深めるために