情報セキュリティマネジメント試験 科目A 情報セキュリティ対策 練習問題 第23問: 営業部門が、クラウド型の顧客管理サービスを導入する。見積りの承認は管理職が行う。設定の手間を減らすため、全社員分のアカウントを同じ権限で作る案が出た。情報セキュ

正解: 1. サービスを使う必要のある人にだけアカウントを作り、役割に応じて誰にどの権限を与えるかを決めて管理する。

「サービスを使う必要のある人にだけアカウントを作り、役割に応じて誰にどの権限を与えるかを決めて管理する」が適切です。IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」の付録「中小企業のためのクラウドサービス安全利用の手引き」は、利用者の範囲を決める項目で、サービスが必要なのは誰か（例: 社長と営業部門だけアカウントを作る）、誰にどのような権限を与えるか（例: 承認権限は管理職に付与する）を決めるよう求め、利用者の認証では ID・パスワードを共有しないとしています。部署で一つのアカウントを共有するのは手引に反します。初期設定のままでは、誰にどの権限を与えるかを決めたことになりません。営業部門に絞っても全員を同じ権限にすると、管理職が行う承認の操作まで全員に許すことになり、権限を決めたことになりません。

関連キーワード: クラウドサービス・アカウント管理・アクセス権・利用者の範囲