サンプル問題（2022年12月） 問56
事例
A社は学習塾を経営している会社であり，全国に50の校舎を展開している。A社には，教務部，情報システム部，監査部などがある。学習塾に通う又は通っていた生徒（以下，塾生という）の個人データは，学習塾向けの管理システム（以下，塾生管理システムという）に格納している。塾生管理システムのシステム管理は情報システム部が行っている。塾生の個人データ管理業務と塾生管理システムの概要を図1に示す。
【図1 塾生の個人データ管理業務と塾生管理システムの概要】
・教務部員は，入塾した塾生及び退塾する塾生の登録，塾生プロフィールの編集，模試結果の登録，進学先の登録など，塾生の個人データの入力，参照及び更新を行う。
・教務部員が使用する端末は教務部の共用端末である。
・塾生管理システムへのログインには利用者IDとパスワードを利用する。
・利用者IDは個人別に発行されており，利用者IDの共用はしていない。
・塾生管理システムの利用者のアクセス権限には参照権限及び更新権限の2種類がある。参照権限があると塾生の個人データを参照できる。更新権限があると塾生の個人データの参照，入力及び更新ができる。アクセス権限は塾生の個人データごとに設定できる。
・教務部員は，担当する塾生の個人データの更新権限をもっている。担当しない塾生の個人データの参照権限及び更新権限はもっていない。
・共用端末のOSへのログインには，共用端末の識別子（以下，端末IDという）とパスワードを利用する。
・共用端末のパスワード及び塾生管理システムの利用者のアクセス権限は情報システム部が設定，変更できる。
教務部は，今年実施の監査部による内部監査の結果，Webブラウザに塾生管理システムの利用者IDとパスワードを保存しており，情報セキュリティリスクが存在するとの指摘を受けた。
監査部から指摘された情報セキュリティリスクはどれか。解答群のうち，最も適切なものを選べ。
正解：オ 塾生の個人データがアクセス権限をもたない教務部員によって不正にアクセスされる。
ポイント
指摘された保存の仕方から、生じる情報セキュリティリスクを選ぶ事例です。
考え方と解き方
図1から、端末が共用であること、利用者IDが個人別であること、権限が担当の塾生データごとに決まっていることを読み取ります。決め手は、共用端末のブラウザに保存されたIDとパスワードを、次に使う別の人が使えるという点です。通信や持ち出しなど、保存と関係のないリスクに引かれる所です。
- 図1で、教務部員が使う端末は共用端末で、利用者IDは個人別です。教務部員は、担当する塾生の個人データだけに更新権限をもち、担当外には参照も更新もできません。
- 共用端末のブラウザに利用者IDとパスワードが保存されていれば、次にその端末を使う別の教務部員が、保存されたIDでログインできます。担当外の塾生の個人データに、他人のIDで不正にアクセスできます。
- したがって、最も適切なのは オ です。
ほかの選択肢
- ア 通信の盗聴は、通信経路の対策の話です。ブラウザにIDとパスワードを保存することとは結びつきません。
- イ 共用端末の持ち出しは、端末の物理的な管理の話です。ブラウザへの保存とは結びつきません。
- ウ アクセス権限を変更できるのは情報システム部で、情報システム部員の不正の話です。教務部の共用端末に保存されたIDとは結びつきません。
- エ 共用端末のパスワードを設定、変更できるのは情報システム部で、教務部員にはその権限がありません。
覚えておくこと
- 共用端末のブラウザにIDとパスワードを保存すると、次の利用者が他人のIDで使える
- リスクは、指摘された事実が原因になっている経路かどうかで選ぶ
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問56