正解：イ
各選択肢の解説
アログインに多要素認証を導入し、本人確認を強化する。
誤り。多要素認証は「ログインしているのが本人か」を確かめる認証の強化です。 今回は本人が自分のIDで正しくログインしているので、認証をいくら強くしても 通ってしまいます。問題はログインの後に何を許していたかです。
イ業務に必要なフォルダだけを開けるよう、利用者ごとの権限を見直す。
正解。問題は認証ではなく認可、つまりログインした人に何を許すかの設定です。 業務に必要な範囲だけを開けるように権限を絞れば、正しくログインした人でも 関係のない人事情報には届きません。
ウフォルダへのアクセス記録を取得し、月末にまとめて確認する。
誤り。アクセス記録は、誰がいつ何を開いたかを後から確かめる手段です。 不正の発見や抑止には役立ちますが、開くこと自体は止められません。 見つかるまでの間、人事情報は読まれたままになります。
エシングルサインオンを導入し、ログインの回数を減らす。
誤り。シングルサインオンは、一度の認証で連携する複数のシステムを使えるようにする 仕組みで、利便性の対策です。ログインした後にどのフォルダを開けるかは 変わらないので、権限の広すぎる状態はそのまま残ります。
理解を深めるために
入館証が本物でも、入れる部屋を決めるのは別の話
ビルの受付で入館証を確かめるのは「この人は誰か」の確認です。入館した人が どの部屋に入れるかは、部屋ごとの鍵の配り方で決まります。受付をどれだけ厳しくしても、 全部の部屋の鍵を渡していれば、来訪者は社長室にも入れます。 今回は受付（ログイン）は正しく機能していて、鍵の配り方（権限）が広すぎました。
認証と認可は別の仕組み
- 認証: アクセスしてきたのが本人かを確かめる（パスワード、多要素認証など）
- 認可: 本人と確かめた相手に、何をしてよいかを決める（フォルダやシステムの権限）
アクセス管理では、利用者ごとに業務に必要な最小限の権限だけを与えます。 派遣社員や委託先の要員のように担当業務が限られている人には、特に範囲を絞ります。 認証の強化は「他人になりすまされる」問題への対策で、「本人が権限の範囲で 見てはいけないものを見る」問題には効きません。
混同しやすい対策との違い
| 対策 | 何を確かめる・止めるか |
|---|---|
| 権限の見直し（認可） | ログインした人が開けるものを業務の範囲に限る |
| 多要素認証（認証） | ログインしているのが本人か |
| アクセス記録の確認 | 誰が何を開いたかを後から確かめる |
| シングルサインオン | ログインの回数を減らす（利便性） |
「ログインに不正はなかった」と書かれていたら、認証の強化ではなく、 ログインした後に何を許していたかを見直す問題だと読み取ります。