正解：ウ
各選択肢の解説
ア部員全員に部内のすべての権限を付けておき、付け外しをなくす。
誤り。付け外しの作業はなくなりますが、担当外の情報まで全員が扱える状態になります。 業務に必要な最小限の権限だけを与えるというアクセス管理の基本に反し、 漏れを防ぐ代わりに権限の広すぎる状態を常態にしてしまいます。
イ部署ごとに共用のIDを1つ作り、異動者にはそのIDを使わせる。
誤り。共用IDにすると、誰が操作したのかを記録から区別できなくなります。 異動した人もパスワードを知ったままなので、共用IDの権限を使い続けられます。 付け外しの手間は減っても、個人ごとの管理ができなくなります。
ウ職務ごとに必要な権限をまとめた役割を作り、社員には役割を割り当てる。
正解。ロールベースアクセス制御（RBAC）の考え方です。権限は役割に一度だけ設定し、 異動のときは社員の役割を付け替えるだけにすれば、数十の権限を一つずつ 操作する必要がなくなり、付け漏れや外し漏れが起きにくくなります。
エ社員ごとの権限一覧を作り、年に1回まとめて見直して不要な権限を消す。
誤り。定期的な見直しは、残ってしまった権限を後から見つける対策です。 付け外しのやり方は変わらないので漏れ自体は起き続け、見直しまでの最大1年間、 外し漏れた権限が使える状態が続きます。補完策としては有効です。
理解を深めるために
権限を「人」ではなく「役割」に付ける
会社の制服を思い浮かべてください。警備員の制服を着ている人は警備室に、 調理の白衣を着ている人は厨房に入れる、と決めておけば、配置換えのときは 制服を着替えてもらうだけで済みます。一人ひとりに「どの部屋に入れるか」を 書いた許可証を作り直すより、ずっと漏れが起きにくくなります。
なぜ役割ごとの管理で漏れが減るのか
ロールベースアクセス制御（RBAC）は、権限を役割（ロール）にまとめて管理する方式です。
- 「法人営業担当」「営業事務」のように職務ごとの役割を作り、必要な権限を役割に設定する
- 社員には役割を割り当て、社員は割り当てられた役割の権限だけを使える
- 異動では役割を外して新しい役割を付ける。数十の操作が1〜2回になる
個別に付け外しする方式では、操作の回数がそのまま漏れの機会になります。 役割にまとめると操作が減るうえ、役割の中身を一度確かめておけば、 誰に割り当てても同じ権限になります。役割の中身は業務に必要な最小限にし、 組織や業務が変わったら役割の定義も見直します。
混同しやすい方法との違い
| 方法 | 結果 |
|---|---|
| 役割ごとに権限をまとめて割り当てる | 異動は役割の付け替えだけ。漏れが起きにくい |
| 全員に全権限を付ける | 漏れはなくなるが、最小特権に反する |
| 部署の共用ID | 誰が操作したか分からず、異動者も使い続けられる |
| 年1回の見直し | 残った権限を後から見つける補完策。漏れ自体は減らない |
「付け外しの作業で漏れる」問題には、作業の回数を減らす仕組みを選び、 定期的な見直しは発見のための補完策と位置づけます。