特権的アクセス権は、システム管理や設定変更など強い操作ができる権限です。SG試験で混同しやすい機密情報へのアクセス権との違いを、過去問のひっかけをもとに整理します。

sg sg-security-management access_control id_management system_operations

まず結論

特権的アクセス権とは、通常の利用者ではできないシステム管理・設定変更・重要操作を行える強い権限のことです。

SG試験では、単に「重要な情報を見る権限」ではなく、システムを管理・変更できる権限かで判断します。

今回のような問題では、次のように切り分けると分かりやすいです。

見る権限は、情報へのアクセス権
変える権限は、特権的アクセス権

もちろん厳密には、特権的アクセス権でも情報を閲覧できる場合があります。
ただし、試験ではまず 「システムに強い操作をしているか」 を見ると判断しやすくなります。

直感的な説明

特権的アクセス権は、建物でいうと 管理人用のマスターキー のようなものです。

普通の利用者は、自分に許可された部屋だけに入れます。
一方で、管理者は多くの部屋を開けたり、設備を変更したりできます。

システムでも同じです。

一般利用者は、許可された画面で業務を行います。
一方で、システム管理者は、ユーザー追加、権限変更、設定変更、ソフトウェア更新など、システム全体に影響する操作を行えます。

このような強い権限が、特権的アクセス権です。

定義・仕組み

特権的アクセス権は、システムの管理や運用に必要な特別な権限です。

代表的には、次のような操作が該当します。

操作 特権的アクセス権に該当しやすい理由
ユーザーの追加・削除 利用者を管理できるため
権限の付与・変更 他人の操作範囲を変えられるため
システム設定の変更 システム全体に影響するため
ソフトウェアのインストール・更新 動作や安全性に影響するため
ログの閲覧・削除 証跡の確認や改ざんに関わるため
サーバやデータベースの管理 業務システムの基盤に関わるため

JIS Q 27002でも、特権的アクセス権は、アクセス制御やID管理の中で重要な管理対象として扱われます。

特権的アクセス権は便利ですが、悪用されると被害が大きくなります。
そのため、必要な人だけに与え、利用状況を記録・確認することが重要です。

どんな場面で使う？

特権的アクセス権は、主にシステム管理や運用の場面で使われます。

たとえば、次のような場面です。

  • 業務システムのプログラムを更新する
  • サーバの設定を変更する
  • 利用者アカウントを追加する
  • 退職者のアカウントを停止する
  • 管理者が障害対応のためにログを確認する
  • データベースのバックアップや復旧を行う

このような操作は、通常の利用者が自由に行えると危険です。

間違った設定変更でシステムが止まったり、不要な権限が付与されたり、ログが削除されて不正の証跡が失われたりする可能性があるためです。

そのため、特権的アクセス権は、業務に必要な範囲に限定して付与することが大切です。

機密情報へのアクセス権との違い

過去問で迷いやすいのが、機密性の高い情報へのアクセスとの違いです。

たとえば、経営者が機密性の高い経営情報にアクセスするケースがあります。

これは一見「特別な権限」に見えます。
しかし、やっていることは 情報の閲覧・利用 です。

経営者が経営判断のために情報を見るのは、業務上必要なアクセスです。

一方で、システム管理者がプログラムを更新する場合は、システムそのものを変更しています。

この違いが重要です。

観点 機密情報へのアクセス権 特権的アクセス権
主な目的 情報を見る・利用する システムを管理・変更する
例 経営情報を見る プログラムを更新する
影響範囲 情報の利用範囲 システム全体に影響しやすい
試験での見方 情報の機密性に注目 操作の強さに注目

試験では、情報が重要かどうかだけで判断しないようにします。

見るべきポイントは、システムを変更・管理しているかです。

よくある誤解・混同

誤解1：機密情報を見られる人は、特権的アクセス権を持っている

これは混同しやすいポイントです。

機密情報を見る権限は、たしかに重要なアクセス権です。
しかし、それだけで特権的アクセス権とは限りません。

特権的アクセス権は、システム管理者のように、システムの設定や権限を変更できる強い権限を指します。

誤解2：役職が高い人のアクセスは、特権的アクセス権である

経営者や管理職という言葉が出ると、特権的に見えます。

しかし、試験では 役職の高さ ではなく、操作内容 を見ます。

経営者が経営情報を見るだけなら、業務上のアクセス権です。
システム管理者がプログラム更新や権限変更を行うなら、特権的アクセス権です。

誤解3：社外からアクセスする行為は、特権的アクセス権である

社外からアクセスしていると、危険そうに見えます。

しかし、許可された営業担当者が営業システムにアクセスして業務を行うだけなら、通常の業務利用です。

社外アクセスかどうかではなく、管理者レベルの操作をしているかを確認します。

試験での判断ポイント

特権的アクセス権の問題では、次の順番で見ると判断しやすいです。

  1. 情報を見ているだけか
  2. システムを変更しているか
  3. ユーザーや権限を管理しているか
  4. ログや設定など、運用管理に関わる操作か

特に、次の言葉が出たら特権的アクセス権を疑います。

  • システム管理者
  • 管理者ID
  • 特権ユーザー
  • 設定変更
  • 権限変更
  • ユーザー追加・削除
  • プログラム更新
  • ログ操作

一方で、次の言葉だけでは特権的アクセス権とは限りません。

  • 機密情報
  • 経営者
  • 社外からアクセス
  • デモシステム
  • 業務利用

強そうな言葉に引っ張られず、何をしているかを見るのが大切です。

例題で確認

情報システムに対するアクセスのうち、JIS Q 27002でいう特権的アクセス権を利用した行為はどれか。

選択肢 内容 判断
ア 許可を受けた営業担当者が、社外から社内の営業システムにアクセスし、業務を行う 通常の業務利用
イ 経営者が、機密性の高い経営情報にアクセスし、経営の意思決定に生かす 機密情報へのアクセス
ウ システム管理者が業務システムのプログラムのバージョンアップを行う 特権的アクセス権
エ 来訪者が、デモシステムにアクセスし、システム機能の確認を行う 限定された利用

正解は ウ です。

プログラムのバージョンアップは、システムの状態を変更する管理作業です。
そのため、通常の利用者権限ではなく、特権的アクセス権が必要になります。

イは、機密性の高い情報にアクセスしているため重要そうに見えます。
しかし、システムの設定や権限を変更しているわけではありません。

この問題では、情報の重要度ではなく、操作の強さで判断します。

まとめ（試験直前用）

特権的アクセス権は、システム管理や設定変更を行える強い権限です。

試験では、次の3点で判断します。

  • 見るだけなら、まずは情報へのアクセス権と考える
  • 変える・管理するなら、特権的アクセス権を疑う
  • 役職や情報の重要度ではなく、操作内容で判断する

今回のポイントは、次の一文です。

機密情報を見る権限と、システムを変更する特権的アクセス権は別物

「重要そうな言葉」ではなく、システムにどんな操作をしているかを見れば、選択肢を切り分けやすくなります。