修了試験 2014-12-21実施分 基本情報技術者試験 問41

解説

正解は3です。 アプリケーションに与えるアクセス権限は、必要最小限にするのがセキュリティ管理の原則です。 これを最小権限の原則と呼びます。 このアプリケーションは利用者情報を検索して表示するだけなので、レコードの参照ができれば十分です。 【選択肢別解説】 1：× 管理者権限ではテーブル自体の登録・変更・削除までできます。 検索・表示には不要であり、悪用されたときの被害が最も大きくなります。 2：× 更新権限はレコードの登録・変更・削除の権限です。 参照ができないうえに、表示だけのアプリケーションには不要な権限です。 3：○ 参照権限だけを与えれば、検索と表示に必要な操作はすべてできます。 不正利用されても、データの改ざんや削除は防げます。 4：× 参照権限と更新権限を与えると、表示だけの用途に不要な登録・変更・削除まで可能になります。 最小権限の原則に反します。 【ポイント】 最小権限の原則は、利用者やプログラムに業務に必要な権限だけを与える考え方です。 SQLインジェクションなどでアプリケーションが乗っ取られた場合の被害も小さくできます。