情報セキュリティマネジメント試験情報＆徹底解説

業務委託におけるアクセス制御に関する次の記述を読んで，設問1，2に答えよ。

　A社は従業員数200名の通信販売業者である。一般消費者向けに生活雑貨，ギフト商品などの販売を手掛けており，商品の種類ごとに販売課が編成されている。

〔Z販売課の業務〕
　現在，Z販売課は，商品Zについて顧客から電子メール又はファックスによる注文及び問合せを受け，その対応を行っている。商品Zの販売に関わる要員(以下，商品Z関連要員という)は，販売責任者であるZ販売課N課長，及びその管理下に5名の担当者，並びに業務委託先の管理者であるB社運用課L課長，及びその管理下に8名の担当者の，計15名で構成されている。商品Z関連要員の業務を図1に示す。　B社は，自社内にA社からの受託業務専用のオペレーションルームをもち，そこからA社のTシステムにアクセスしている。B社は，A社からの受託業務に必要な設備及び管理体制を整えており，A社が定める情報セキュリティ要件を満たしている。

〔Jシステム及びTシステムの操作権限〕
　Z販売課では，Jシステム及びTシステムについて，次の利用方針を定めている。

[方針1]

1人の利用者に，一つの利用者IDを登録する。

[方針2]

一つの利用者IDは，1人の利用者だけが利用する。

[方針3]

ある利用者が入力した情報は，別の利用者が承認する。

[方針4]

販売責任者は，Z販売課の全業務の情報を閲覧できる。

　Jシステム及びTシステムでは，業務上必要な操作権限を利用者に与えるためにシステム上の役割(以下，ロールという)を定義する機能が実装されている。ロールには，業務上必要な操作権限の組合せが付与される。利用者IDにロールを設定することによって，利用者の操作権限が決まる。一つの利用者IDにはロールを一つだけ設定する。システム利用部署の長は，所属する利用者の利用者IDに対するロール設定を情報システム部に依頼する。情報システム部が受けた依頼はシステムに登録され，翌営業日の朝5時に自動的にシステムに反映される。
　Jシステム及びTシステムにおいて，商品Z関連要員の利用者IDに設定されているロールの種類とその操作権限を表1に示す。　例えば，N課長の利用者IDには"A社販売責任者"というロールを設定して，Jシステムの閲覧及び承認並びにTシステムの閲覧の権限をもたせている。

〔受注管理業務の委託〕
　Z販売課では，受注管理業務を担当するA社の従業員の作業量が受注増によって増えていることから，この業務の入力作業をB社に対して追加で委託することにした。追加の業務委託で必要となるJシステムの操作権限の見直しを，A社の販売課全体の情報セキュリティリーダーを務める販売管理課のM主任が支援することになった。
　M主任は，受注管理業務におけるA社とB社の役割分担について，Z販売課のN課長からヒアリングした内容を次のとおり整理した。

[要求1]

B社が入力した場合は，A社が承認する。

[要求2]

A社の担当者が入力した場合は，現状どおりにA社の販売責任者が承認する。

　これに基づきM主任が作成した新しい操作権限案を表2に示す。　次は，この操作権限案についてのM主任とN課長との会話である。

M主任:

N課長の要求に従ってロールとその操作権限を見直してみました。

N課長:

確かに，要求どおりだ。ただ，販売責任者は私だけなので業務が停滞することが心配だ。B社で入力した情報はA社の担当者が承認すればよいので，"A社販売担当者"ロールに承認権限を追加できないだろうか。

M主任:

承認権限を追加すると，①Jシステムで利用方針に違反してしまいます。

N課長:

"A社販売担当者"ロールに承認権限を追加し，その上で，利用方針にも合うようにしたい。例えばaことはできるだろうか。

M主任:

それならば，利用方針は順守できそうです。ただ，システムの改修が必要ですね。また，②[要求2]を満たせません。別の案ですが，bようにシステム改修するのはどうでしょう。

N課長:

確かに，それなら[要求2]も満たせる。早速，その方針で情報システム部にシステム改修の相談をしてくれないか。

M主任:

承知しました。確認ですが，N課長は，出張などで承認手続ができなくなるようなケースはありませんか。

N課長:

今のところ問題ない。ただ，③来年度から毎年2，3回，2週間ほどの海外出張に出る予定なので，誰かに代行してもらう必要が出てくる。この対応も検討したい。それと，B社のL課長からの話だが，一日の中でも問合せ数が少ない時間に，問合せ対応業務の担当者の一部が受注管理業務を応援できる運用を希望していたよ。あらかじめ担当者を任命して教育もしておくそうだ。

M主任:

承知しました。すぐにB社に詳細を確認して④必要な操作権限を与える方法を検討します。

　M主任は，B社の管理者及びA社の情報システム部と調整して，N課長とともにJシステムの改修案，運用案を取りまとめた。〔B社担当者の追加及び変更〕
　A社情報システム部では，社内データベースに格納された情報を閲覧するための情報閲覧システム(以下，Dシステムという)を提供している。Dシステムで商品Z関連要員に付与されている閲覧権限を表3に示す。
　なお，利用者IDは，Jシステム及びTシステムと共通である。　A社では，Dシステムの閲覧権限の付与について，次の手続を定めている。

• 各情報のオーナ部署の長が，閲覧権限を付与する対象者を決める。
• 情報システム部は，情報のオーナ部署の長の決定に従ってDシステムの閲覧権限を設定する。
• 利用部署の希望によって閲覧権限を付与する場合は，利用部署の長が，その情報のオーナ部署の長に申請して承認を得る。申請を承認した情報のオーナ部署の長は，情報システム部に対して閲覧権限の付与を依頼する。
• 利用部署が，業務委託先要員への閲覧権限付与を希望する場合は，c。

　次は，B社の担当者の追加及び変更に関する，M主任とN課長の会話である。

M主任:

新しく追加されるB社Jシステム担当者に付与する閲覧権限について相談があります。dのリスクを低減するために，表3に示すDシステムの閲覧権限を見直して，必要最小限にした方がよいと思います。

N課長:

Jシステム担当者の作業は，届いた注文の確認と入力だ。商品カタログ情報とお客様情報の閲覧だけだな。

M主任:

では，N課長からeに対して，閲覧権限の付与を申請していただけますか。

N課長:

新しいB社担当者の名簿はできているかな。

M主任:

はい。B社から情報を受領しました。Jシステム担当者は3名です。

N課長:

Tシステム担当者に変更はないかな。

M主任:

あります。⑤来月中に1人が退任し1人が新規に着任すると聞きました。引継ぎを兼ねて，おおよそ1週間は2人とも在籍してTシステムとDシステムを利用して業務を行う予定です。必要な権限を正しくシステムに登録するために，B社に担当者変更がある場合，原則2週間前にfから情報提供してもらうよう業務委託契約で定めています。後ほど，⑥正式に情報を受領します。

N課長:

分かった。今回，業務委託の対象システムも人員も増えるので，改めて情報漏えい対策に力を入れていきたい。頼りにしているよ。

　こうしてN課長とM主任は必要な準備を進め，新しい体制で業務を開始することができた。

設問1

〔受注管理業務の委託〕について，(1)～(6)に答えよ。

(1) 本文中の下線①について，どの利用方針に違反するか。違反が考えられる利用方針だけを全て挙げた組合せを，解答群の中から選べ。

設問2

〔B社担当者の追加及び変更〕について，(1)～(4)に答えよ。

(1) 本文中のcに入れる字句はどれか。解答群のうち，最も適切なものを選べ。