正解：ア
各選択肢の解説
ア作業ごとに承認して貸し出し、作業後はパスワードを変え、操作記録を申請と照合する。
正解。使うときだけ承認を経て渡し、作業が終われば使えない状態に戻します。 操作記録を申請の内容と突き合わせれば、承認のない作業や申請外の操作を見つけられます。
イ業者専用の特権IDを作ってパスワードを伝え、いつでも作業できる状態にしておく。
誤り。専用のIDにすれば「誰が」は分かるようになりますが、承認なしにいつでも使える 状態は変わりません。月に数回しか使わないIDを常に使える状態にしておくと、 パスワードが漏れたときに気づけず、不正利用の機会が広がります。
ウ特権IDのパスワードを長く複雑なものに変え、改めて業者に伝えておく。
誤り。パスワードを複雑にするのは、推測や総当たりへの対策です。今回の問題は、 パスワードを知っている人が自由に使え、その使用を把握できないことです。 知っている人の範囲と使える時間は変わりません。
エ業者との契約に秘密保持と不正利用の禁止を定め、IDの運用は業者に任せる。
誤り。契約は不正を思いとどまらせる抑止と、起きたときの責任追及に役立ちます。 しかし、いつ誰が使ったかを自社で把握できない状態は残ります。契約は、 技術的な管理と組み合わせて使うものです。
理解を深めるために
合鍵を渡しっぱなしにせず、そのつど貸し出す
特権IDは、サーバの設定変更やデータの削除まで何でもできる「マスターキー」です。 業者にパスワードを伝えたままにするのは、合鍵を渡しっぱなしにしているのと同じです。 管理の基本は、必要なときだけ貸し出し、終わったら回収し、何をしたかを確かめることです。
なぜ貸出しと照合の組合せなのか
- 申請と承認: 作業の日時・内容・作業者を事前に決め、それ以外の利用を認めない
- 作業後のパスワード変更（または無効化）: 次の承認までは、誰も使えない状態に戻す
- 操作記録の照合: 実際の操作が申請どおりだったかを確かめる。承認のないログインや 申請外のコマンドがあれば、ここで見つかる
貸し出すだけでは、承認された時間内に何をしたかは分かりません。記録を取るだけで 照合しなければ、問題のある操作も見過ごされます。「いつ」「誰が」「何を」を そろえて押さえるには、この3つを組み合わせます。実務では、特権IDの貸出しと記録を 自動で行う特権ID管理の製品を使うこともあります。
混同しやすいものとの違い
| 見直し | 押さえられるもの | 残る問題 |
|---|---|---|
| 都度の貸出し＋作業後の変更＋記録の照合 | いつ・誰が・何を | ― |
| 業者専用IDを常時使える状態に | 誰が | 承認なしにいつでも使える |
| パスワードの複雑化 | 推測・総当たりへの耐性 | 知っている人が自由に使える |
| 契約による義務づけ | 抑止と責任追及 | 自社で使用を把握できない |
特権IDの問題では、「使える状態がいつまで続くか」と「使った後に確かめているか」の 2点で選択肢を比べると判断しやすくなります。