利用者IDとパスワードの保存方法におけるリスク｜情報セキュリティマネジメント 令和4年 サンプル問題 問56
出典：令和4年度 サンプル問題 科目B 問56
分野：科目B ／ 情報セキュリティリスクアセスメント及びリスク対応
A社は学習塾を経営している会社であり，全国に50の校舎を展開している。A社には，教務部，情報システム部，監査部などがある。学習塾に通う又は通っていた生徒（以下，塾生という）の個人データは，学習塾向けの管理システム（以下，塾生管理システムという）に格納している。塾生管理システムのシステム管理は情報システム部が行っている。塾生の個人データ管理業務と塾生管理システムの概要を図1に示す。
| ・教務部員は，入塾した塾生及び退塾する塾生の登録，塾生プロフィールの編集，模試結果の登録，進学先の登録など，塾生の個人データの入力，参照及び更新を行う。 ・教務部員が使用する端末は教務部の共用端末である。 ・塾生管理システムへのログインには利用者IDとパスワードを利用する。 ・利用者IDは個人別に発行されており，利用者IDの共用はしていない。 ・塾生管理システムの利用者のアクセス権限には参照権限及び更新権限の2種類がある。参照権限があると塾生の個人データを参照できる。更新権限があると塾生の個人データの参照，入力及び更新ができる。アクセス権限は塾生の個人データごとに設定できる。 ・教務部員は，担当する塾生の個人データの更新権限をもっている。担当しない塾生の個人データの参照権限及び更新権限はもっていない。 ・共用端末のOSへのログインには，共用端末の識別子（以下，端末IDという）とパスワードを利用する。 ・共用端末のパスワード及び塾生管理システムの利用者のアクセス権限は情報システム部が設定，変更できる。 |
図1 塾生の個人データ管理業務と塾生管理システムの概要
教務部は，今年実施の監査部による内部監査の結果，Webブラウザに塾生管理システムの利用者IDとパスワードを保存しており，情報セキュリティリスクが存在するとの指摘を受けた。 設問 監査部から指摘された情報セキュリティリスクはどれか。解答群のうち，最も適切なものを選べ。 解答群- ア：共用端末と塾生管理システム間の通信が盗聴される。
- イ：共用端末が不正に持ち出される。
- ウ：情報システム部員によって塾生管理システムの利用者のアクセス権限が不正に変更される。
- エ：教務部員によって共用端末のパスワードが不正に変更される。
- オ：塾生の個人データがアクセス権限をもたない教務部員によって不正にアクセスされる。
TSUNAGARU-ADVICE
まず押さえたいこと
この事例の問題点は、共用端末のWebブラウザに個人別の利用者IDとパスワードを保存していることです。別の教務部員がその端末を使ったとき、保存済みの認証情報によって他人の利用者IDで塾生管理システムへログインできるおそれがあります。
事例を読むときの判断軸
図1では、教務部員ごとに担当する塾生だけへアクセスできるよう権限が分かれています。そのため、保存された他人の認証情報が使われると、本来はアクセス権限をもたない塾生の個人データへ不正にアクセスできることが問題です。通信盗聴や端末の持出しではなく、「認証情報の保存によって誰の権限を悪用できるか」に注目しましょう。
上位試験につなげるために
上位試験では、共用端末・認証情報の保存・個人別ID・アクセス権限を組み合わせてリスクを考えることが重要です。個人別IDを発行していても、認証情報を共用端末に残せば実質的に他人がその権限を使えるため、ブラウザへのパスワード保存禁止や端末利用後のログアウトなど、運用面まで確認する視点を持ちましょう。
この問題では、共用端末のWebブラウザに、塾生管理システムの利用者IDとパスワードを保存していることによって、どのようなリスクが生じるかを考えます。
教務部員には個人別の利用者IDが付与されており、自分が担当する塾生の個人データだけを更新できるようにアクセス権限が設定されています。しかし、共用端末のWebブラウザに他の教務部員の利用者IDとパスワードが保存されていると、別の教務部員がその認証情報を使ってログインできるおそれがあります。
その結果、本来はアクセス権限をもっていない塾生の個人データに、不正にアクセスできてしまう可能性があります。したがって、オが最も適切です。
試験では、「共用端末＋ブラウザにID・パスワード保存＝他人の認証情報を使われるおそれ」と捉えることがポイントです。
❌他選択肢が誤りの理由ア：共用端末と塾生管理システム間の通信が盗聴される。
⇒ブラウザに利用者IDとパスワードを保存していることと、通信の盗聴は直接関係ありません。通信の盗聴対策にはTLSなどの通信暗号化が関係します。
イ：共用端末が不正に持ち出される。
⇒端末の持出しは物理的な管理に関するリスクです。ブラウザに認証情報を保存していることによって、端末が持ち出されやすくなるわけではありません。
ウ：情報システム部員によって塾生管理システムの利用者のアクセス権限が不正に変更される。
⇒情報システム部にはアクセス権限を設定・変更できる権限がありますが、ブラウザへのID・パスワード保存とは直接関係しません。
エ：教務部員によって共用端末のパスワードが不正に変更される。
⇒共用端末のパスワードを設定・変更できるのは情報システム部です。教務部員が変更できるとは問題文に示されていません。また、ブラウザに塾生管理システムの認証情報を保存していることとも直接関係しません。