情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
申請と承認の分離
条件を整理し、答えを選んでから解き方を確認しましょう。
担当者が自分で経費申請を作り、自分の管理者権限で承認もできる。不正の牽制として最も直接的な対策はどれか。
答え・解き方を読む
申請者と承認者の役割を分け自己承認を拒否
考える順序
- 1同じ人が実施と確認を完結できる点が問題
- 2職務を分離して相互の確認を働かせる
- 3認可でも自己承認を拒否する
選択肢ごとの理由
- 比較 · パスワードを長くするだけ
本人認証の強化だけでは正規本人の自己承認を防げません。
- 比較 · 申請DBを毎日バックアップするだけ
復旧対策は承認の独立性を作りません。
- 比較 · 画面をHTTPS化するだけ
通信保護と職務の分離は別です。
- 正解 · 申請者と承認者の役割を分け自己承認を拒否
同じ人が実施と確認を完結できる点が問題。職務を分離して相互の確認を働かせる。認可でも自己承認を拒否する。