利用者IDとパスワードの保存方法におけるリスク｜情報セキュリティマネジメント 令和4年 サンプル問題 問56
出典：令和4年度 サンプル問題 科目B 問56
分野：科目B ／ 情報セキュリティリスクアセスメント及びリスク対応
A社は学習塾を経営している会社であり，全国に50の校舎を展開している。A社には，教務部，情報システム部，監査部などがある。学習塾に通う又は通っていた生徒（以下，塾生という）の個人データは，学習塾向けの管理システム（以下，塾生管理システムという）に格納している。塾生管理システムのシステム管理は情報システム部が行っている。塾生の個人データ管理業務と塾生管理システムの概要を図1に示す。
| ・教務部員は，入塾した塾生及び退塾する塾生の登録，塾生プロフィールの編集，模試結果の登録，進学先の登録など，塾生の個人データの入力，参照及び更新を行う。 ・教務部員が使用する端末は教務部の共用端末である。 ・塾生管理システムへのログインには利用者IDとパスワードを利用する。 ・利用者IDは個人別に発行されており，利用者IDの共用はしていない。 ・塾生管理システムの利用者のアクセス権限には参照権限及び更新権限の2種類がある。参照権限があると塾生の個人データを参照できる。更新権限があると塾生の個人データの参照，入力及び更新ができる。アクセス権限は塾生の個人データごとに設定できる。 ・教務部員は，担当する塾生の個人データの更新権限をもっている。担当しない塾生の個人データの参照権限及び更新権限はもっていない。 ・共用端末のOSへのログインには，共用端末の識別子（以下，端末IDという）とパスワードを利用する。 ・共用端末のパスワード及び塾生管理システムの利用者のアクセス権限は情報システム部が設定，変更できる。 |
図1 塾生の個人データ管理業務と塾生管理システムの概要
教務部は，今年実施の監査部による内部監査の結果，Webブラウザに塾生管理システムの利用者IDとパスワードを保存しており，情報セキュリティリスクが存在するとの指摘を受けた。 設問 監査部から指摘された情報セキュリティリスクはどれか。解答群のうち，最も適切なものを選べ。 解答群- ア：共用端末と塾生管理システム間の通信が盗聴される。
- イ：共用端末が不正に持ち出される。
- ウ：情報システム部員によって塾生管理システムの利用者のアクセス権限が不正に変更される。
- エ：教務部員によって共用端末のパスワードが不正に変更される。
- オ：塾生の個人データがアクセス権限をもたない教務部員によって不正にアクセスされる。