セキュアOS｜情報セキュリティマネジメント 令和8年 公開問題 問6
出典：令和8年度 公開問題 科目A 問6
分野：セキュリティ ／ 情報セキュリティ対策
セキュアOSのアクセス制御と管理者権限管理を説明した適切な組みはどれか。
| アクセス制御 | 管理者権限管理 | |
| ア | リソースやプログラムのアクセス権は，OSの管理者が定めたセキュリティポリシーの下で一元的に制御され，リソースやプログラムの所有者が変更できない。 | OSの管理の分野ごとに異なる管理用アカウントを作成し，各アカウントに必要最低限の管理者特権を与える。 |
| イ | リソースやプログラムのアクセス権は，OSの管理者が定めたセキュリティポリシーの下で一元的に制御され，リソースやプログラムの所有者が変更できない。 | OSの管理用に特権アカウントを作成し，特権アカウントに全ての権限を与える。 |
| ウ | リソースやプログラムのアクセス権は，リソースやプログラムの所有者が保持し，制御する。 | OSの管理の分野ごとに異なる管理用アカウントを作成し，各アカウントに必要最低限の管理者特権を与える。 |
| エ | リソースやプログラムのアクセス権は，リソースやプログラムの所有者が保持し，制御する。 | OSの管理用に特権アカウントを作成し，特権アカウントに全ての権限を与える。 |
- ア：
- イ：
- ウ：
- エ：
TSUNAGARU-ADVICE
まず押さえたいこと
セキュアOSでは、アクセス権を利用者や所有者の判断だけに任せず、管理者が定めたセキュリティポリシーに基づいて一元的に制御します。また、管理者権限も1つのアカウントに集中させず、役割ごとに分けて必要最低限の権限だけを与えることが基本です。
迷ったときの判断軸
アクセス制御では、「所有者が自由に変更できるか」「組織のポリシーで強制されるか」に注目しましょう。後者は強制アクセス制御の考え方です。管理者権限では、「全権限を1人に与える」よりも、職務分離と最小権限によって権限を分散させる方が安全性を高められると判断します。
科目Bにつなげるために
科目Bでは、管理者アカウントの不正利用や誤操作が発生した事例から、権限設定の問題点を見抜く場面につながります。「必要以上の権限を持っていないか」「1つの特権アカウントに権限が集中していないか」という視点で確認し、アクセス制御と権限管理を組み合わせてリスクを抑える考え方を身につけましょう。
セキュアOSでは、一般的なOSよりも厳格なアクセス制御や権限管理を行い、万一アカウントやプログラムが悪用されても被害を広げにくくします。アクセス制御では、OSの管理者が定めたセキュリティポリシーに従って一元的に権限を制御する考え方が用いられます。
また、管理者権限についても、1つのアカウントに全ての強力な権限を集中させるのではなく、管理分野ごとにアカウントを分け、必要な権限だけを与えます。これは「必要以上の権限を与えない」という最小権限の原則に沿った考え方です。
したがって、「所有者が自由にアクセス権を変更できない一元的なアクセス制御」と「管理分野ごとに必要最低限の特権を与える管理者権限管理」を組み合わせたアが適切です。
❌他選択肢が誤りの理由イ：アクセス権はOSの管理者が定めたセキュリティポリシーの下で一元的に制御される。管理用の特権アカウントに全ての権限を与える。
⇒アクセス制御の説明は適切ですが、1つの特権アカウントに全ての権限を与える方法は、権限の集中によって被害が大きくなるおそれがあります。セキュアOSでは、必要最低限の権限だけを与える管理が重視されます。
ウ：アクセス権はリソースやプログラムの所有者が保持し，制御する。管理分野ごとに異なる管理用アカウントを作成し，各アカウントに必要最低限の管理者特権を与える。
⇒管理者権限管理は適切ですが、所有者がアクセス権を決定する方式は、任意アクセス制御の考え方です。セキュアOSでは、管理者が定めたポリシーに基づいて強制的にアクセスを制御する仕組みが重視されます。
エ：アクセス権はリソースやプログラムの所有者が保持し，制御する。管理用の特権アカウントに全ての権限を与える。
⇒アクセス制御では所有者が自由に権限を制御しており、管理者権限も1つのアカウントに集中しています。どちらもセキュアOSで重視される厳格なアクセス制御や最小権限の原則とは異なります。