ログイン時のIDとパスワード照合はどの内部統制機能か
ITパスポート試験 令和4年度 問37 ／ システム監査 › 内部統制
過去問にチャレンジ
システムによる内部統制を目的として，幾つかの機能を実装した。次の処理は，どの機能の実現例として適切か。 ログイン画面を表示して利用者IDとパスワードを入力する。利用者IDとパスワードの組合せがあらかじめ登録されている内容と一致する場合は業務メニュー画面に遷移する。一致しない場合は遷移せずにエラーメッセージを表示する。
- ア
システム障害の検知
- イ
システムによるアクセス制御
- ウ
利用者に対するアクセス権の付与
- エ
利用者のパスワード設定の妥当性の確認
会話形式の解説
講師今回は、内部統制のためにシステムに組み込む機能の問題です。ログイン画面での処理が何をしているのかを、一つずつ分けて考えるのがポイントです。
受験者IDとパスワードを入力して、合っていれば業務メニューに進んで、違えばエラーになる処理ですね。パスワードが出てくるので、パスワード設定の妥当性の確認かなと少し迷いました。
講師そこは迷いやすいところです。パスワード設定の妥当性の確認は、パスワードを設定するときに、文字数や文字種の組合せ、過去のパスワードと同じでないかといった条件を満たしているかを調べることです。今回の処理は設定のときではなく、ログインのときの話です。
受験者なるほど。今回は強いパスワードかどうかではなく、入力した値が登録内容と一致するかを見ているだけなんですね。
講師そのとおりです。IDとパスワードを照合して、正当な利用者かどうかを確かめることを「認証」といいます。では、認証の結果を使って何をしているでしょうか。
受験者一致すれば業務メニューに進ませて、一致しなければ進ませない。つまり、使ってよいかどうかを判断して制限しています。
講師はい。認証の結果に応じてシステムを使わせるかどうかを決める処理を、アクセス制御といいます。正当な利用者以外を締め出すので、不正利用の防止にもつながります。これが正解です。
受験者アクセス権の付与も似た言葉なので紛らわしいです。何が違うのでしょうか。
講師アクセス権の付与は、利用者やグループごとに、操作できる範囲をあらかじめ設定しておく作業です。今回の処理は新しく権限を与えているわけではなく、登録済みの情報を使って、利用を認めるかどうかをその都度判断しているだけです。
受験者事前に設定する作業が付与で、ログインのたびに判断して制限する処理がアクセス制御、ということですね。システム障害の検知は、サーバの停止などを見張る機能なので関係なさそうです。
講師そうです。障害検知はサーバの停止や通信異常を監視して管理者に知らせる機能なので、IDとパスワードの照合ではシステムに障害があるかどうかは分かりません。
講師補足として、認証は「本人であることの確認」、認可は「認証された利用者に何を許すかを決めること」と分けて説明されることもあります。似た選択肢が並んだときは、「設定する作業」なのか「その都度判断して制限する処理」なのかを区別して考えると見分けやすくなります。
まとめ
ログイン時にIDとパスワードを登録内容と照合し、一致した利用者だけを業務メニューに進ませる処理は、システムによるアクセス制御の実現例です。照合して正当な利用者かを確かめることを認証といい、その結果で利用を許可・拒否するのがアクセス制御です。アクセス権の付与は、操作できる範囲を事前に設定する作業なので、ログインのたびに行う照合とは別のものです。パスワード設定の妥当性の確認は、設定時に文字数や文字種などの条件を調べることで、これも一致の確認とは別のものです。
解答・解説
正解はイです
この問題のテーマ
内部統制のために実装するシステム機能のうち、ログイン時に利用者IDとパスワードを照合して業務画面への遷移を許可したり拒否したりする処理が、どの機能に当たるかを問う問題です。
解き方の考え方
まず、設問の処理が何をしているかを整理します。入力された利用者IDとパスワードを登録内容と照合し（認証）、一致すれば業務メニューに進ませ、一致しなければ進ませずにエラーを表示します。つまり、正当な利用者だけにシステムを使わせる仕組みです。これを各選択肢の機能の定義と照らし合わせ、「利用の可否を判断して制限する」ことに当たるものを選びます。
選択肢ごとの解説
- ×ア システム障害の検知システム障害の検知の説明は当てはまりません。障害検知は、サーバの停止や通信異常などを監視して管理者に知らせる機能です。IDとパスワードの照合では、システムに障害が起きているかどうかはわかりません。
- ○イ システムによるアクセス制御システムによるアクセス制御が正解です。登録内容と一致した利用者だけを業務メニューへ進ませ、一致しない場合は遷移させずに利用を拒否しています。認証の結果をもとにシステムを使えるかどうかを制御するこの処理は、アクセス制御の典型的な実現例です。正当な利用者以外を排除するため、不正利用の防止にもつながります。
- ×ウ 利用者に対するアクセス権の付与利用者に対するアクセス権の付与の説明は当てはまりません。アクセス権の付与とは、利用者やグループごとに操作できる範囲をあらかじめ設定する作業です。設問の処理は新しく権限を与えるものではなく、登録済みの情報を使って利用を認めるかどうかを判断しているだけです。
- ×エ 利用者のパスワード設定の妥当性の確認利用者のパスワード設定の妥当性の確認の説明は当てはまりません。妥当性の確認とは、パスワードを設定するときに、文字数や文字種の組合せ、過去のパスワードとの重複といった条件を満たしているかを調べることです。設問の処理はパスワードの強度を確かめるものではなく、入力値が登録内容と一致するかを照合しています。
補足
認証は「本人であることの確認」、認可は「認証された利用者に何を許すかを決めること」と区別して説明されることがあります。この問題では、アクセス権の付与（事前に権限を設定する作業）とアクセス制御（実際に利用の可否を判断する処理）の区別がよく狙われます。「設定する作業」なのか「その都度判断して制限する処理」なのかに注目すると見分けやすくなります。
POINT
- 利用者IDとパスワードを照合して本人が正当な利用者かを確かめることを「認証」といいます。
- 認証の結果に応じてシステムの利用を許可したり拒否したりする処理は「アクセス制御」に当たります。
- アクセス権の付与は、利用者ごとに操作できる範囲を事前に設定する作業であり、ログイン時に毎回行う照合とは別のものです。
- パスワード設定の妥当性の確認は、設定時に文字数や文字種などの条件を満たしているかを調べることで、ログイン時の一致確認とは別のものです。