正解：ウ
各選択肢の解説
ア引継ぎに備え、人事システムの権限を残したまま営業システムの権限を追加する。
誤り。異動のたびに権限が積み重なり、業務に不要な人事情報まで見られる状態が続きます。 引継ぎで一時的に必要なら期限を決めて付与し、終われば確実に外すのが原則です。
イ営業部で共用しているIDとパスワードを伝え、営業システムはそれで利用させる。
誤り。共用IDでは、誰が操作したかを記録から区別できません。 アクセス管理は利用者を1人ずつ識別することが前提で、ID自体を個人ごとに分ける必要があります。
ウ人事システムの権限を削除し、営業の業務に必要な範囲の権限だけを付与する。
正解。権限は業務に必要な最小限にとどめ、不要になった権限は速やかに外します。 異動は権限を見直す代表的なきっかけです。
エ異動を機にパスワードを変更させ、権限の設定は異動前のまま据え置く。
誤り。パスワードの変更は「本人かどうか」を確かめる認証の強化です。 「本人に何を許すか」という権限の問題とは別で、人事情報に触れられる状態は残ります。
理解を深めるために
「誰か」を確かめた後に「何を許すか」を決める
ログインで本人だと確かめるのが認証です。 その後、その人にどのデータやシステムを使わせるかを決めて管理するのがアクセス管理です。 ビルの入館証にたとえると、入館証で本人を確かめ、そのうえで入れるフロアを部署ごとに決めている状態です。 部署を移ったのに前のフロアの鍵を持ち続けていたら、それは管理の漏れです。
なぜ異動のときに見直すのか
アクセス管理の基本は、業務に必要な最小限の権限だけを与えることです（最小権限）。
- 不要な権限が残っていると、本人の誤操作や不正、IDを乗っ取られたときの被害範囲が広がる
- 異動・退職のたびに「追加」だけして「削除」しないと、古参の社員ほど権限が膨らむ
- だから異動・退職は、権限を付け替える代表的なきっかけになる
混同しやすい対応との違い
| 対応 | 何が問題か |
|---|---|
| 旧権限を外し必要な権限だけ付与 | 最小権限に沿った正しい対応 |
| 旧権限を残して追加 | 不要な権限が積み重なる |
| 共用IDを使わせる | 誰が操作したか区別できない |
| パスワード変更のみ | 認証の強化で、権限は変わらない |
試験では、認証（本人確認）の対策とアクセス管理（権限の割当て）の対策を 並べて選ばせる形が考えられます。「本人かどうか」の話か「何を許すか」の話かで切り分けます。