最終更新日：2026年6月12日

sg sg-security-law unauthorized_access access_control sg-security-management

まず結論

コンピュータ不正アクセス対策基準は、不正アクセスによる被害の予防・発見・復旧・再発防止のために、利用者・管理者・事業者が実施すべき対策を整理した基準です。

SG試験では、細かい項番を暗記するよりも、ID共有、過剰権限、不要なネットワーク接続を避け、方針整備・教育・監視を行うという方向で選択肢を切ります。

このページで切り分けること（先にここだけ）

このページは、コンピュータ不正アクセス対策基準に合う運用かどうかを中心に整理します。

  • システムユーザ：ID・パスワードを適切に扱う
  • システム管理者：権限、設備、ログ、教育、事後対応を管理する
  • 事業者・供給者：サービスや製品を安全に提供する

迷ったら、「不正アクセスを防ぐために、共有・過剰権限・接続しすぎを避けているか」 を見ます。

SG試験で選択肢を切る判断軸（コンピュータ不正アクセス対策基準編）

  • 「利用者IDを共有する」と書かれている → 誤り。操作した本人を追跡できなくなります。

  • 「管理者権限を常に広く使える」と書かれている → 誤り。管理者権限は必要最小限にします。

  • 「必要のない範囲までネットワークを広く接続する」と書かれている → 誤りになりやすい。通信経路や接続範囲は必要最小限にします。

  • 「セキュリティ方針を文書化し、教育・周知する」と書かれている → 適切。管理体制の整備として考えます。

関連記事との役割分担（混同防止）

直感的な説明

コンピュータ不正アクセス対策基準は、会社の情報システムを守るための 安全運転ルール集 のようなものです。

たとえば、会社のシステムで次のような運用をすると危険です。

  • みんなで同じIDを使う
  • 管理者が強い権限を常に使える
  • 運用しやすいからという理由で、用途の異なるネットワークを広くつなぐ
  • セキュリティ方針を決めず、教育も行わない

これでは、不正アクセスが起きたときに、誰が何をしたのか分からず、被害も広がりやすくなります。

そこで、基準では、利用者・管理者・事業者などの立場ごとに、実施すべき対策を整理しています。

定義・仕組み

コンピュータ不正アクセス対策基準は、経済産業省が公表している基準です。詳しくは 経済産業省｜コンピュータ不正アクセス対策基準 を参照してください。

この基準は、主に次の4つから構成されています。

基準 対象 SG試験での見方
システムユーザ基準 システムを利用する人 ID・パスワードを適切に扱う、異常を報告する
システム管理者基準 システムを管理する人・組織 権限管理、ログ管理、設備管理、教育、事後対応を行う
ネットワークサービス事業者基準 ネットワークサービスを提供する事業者 サービス提供側として不正アクセス対策を行う
ハードウェア・ソフトウェア供給者基準 製品を開発・販売する供給者 安全な製品提供や脆弱性への配慮を行う

SG試験では、基準名そのものよりも、選択肢の運用が不正アクセス対策として妥当かを判断する問題になりやすいです。

特に重要なのは、次の4点です。

  1. IDは個人ごとに使い、共有しない
  2. 管理者権限は必要最小限にする
  3. 通信経路やネットワーク接続は必要最小限にする
  4. セキュリティ方針を定め、教育・周知する

どんな場面で使う？

SG試験では、次のような場面で出題されます。

  • 利用者IDやパスワードの運用が適切かを判断する
  • 管理者権限の付与・利用方法が適切かを判断する
  • ネットワークの接続範囲や分離が適切かを判断する
  • セキュリティ方針、教育、周知が行われているかを判断する
  • 不正アクセス発見後の報告・対応が適切かを判断する

たとえば、運用の都合だけで接続範囲を広げる説明があっても、セキュリティ上は危険です。

管理のしやすさだけを見るのではなく、攻撃経路を増やしていないか、被害範囲を広げていないかを見ます。

また、管理者権限は便利ですが、常に広く使える状態にすると、誤操作や不正利用の影響が大きくなります。

そのため、SG試験では、便利さよりも必要最小限・責任追跡・教育周知を優先して考えます。

よくある誤解・混同

誤解1：運用しやすければ、ネットワークを広く接続してよい

運用効率だけを理由に、用途の異なるネットワークを広く接続するのは危険です。

ネットワークを広くつなぐほど、侵入後に移動できる範囲も広がりやすくなります。

SG試験では、必要な通信経路だけに絞る、用途に応じて分離するという発想で判断します。

誤解2：業務上必要なら、利用者IDを共有してよい

利用者IDの共有は不適切です。

共有IDを使うと、誰がログインし、誰が操作したのかを追跡しにくくなります。

例外的に共有アカウントを避けられない運用がある場合でも、SG試験ではまず 個人ごとのID、共有禁止、操作記録 を基本として考えます。

誤解3：システム管理者なら、強い権限を常時使えてよい

システム管理者であっても、権限は業務に必要な範囲に限定します。

強い権限を常に使える状態にすると、誤操作・内部不正・アカウント乗っ取り時の被害が大きくなります。

SG試験では、管理者権限も必要最小限、利用記録、承認、定期見直しという方向が適切です。

誤解4：不正アクセス対策は技術対策だけでよい

不正アクセス対策は、ファイアウォールや認証だけではありません。

組織のセキュリティ方針を文書化し、利用者へ教育・周知することも重要です。

SG試験では、技術対策・運用管理・教育を組み合わせて考えます。

確認問題（SG試験対策）

社外公開システムの運用ルールを見直すとき、不正アクセス対策として最も適切なものはどれか。

  • ア. 緊急時に備え、管理用アカウントのパスワードを関係者全員で共有する。
  • イ. 保守作業を楽にするため、使う予定のない遠隔管理ポートも開けたままにする。
  • ウ. 管理接続は承認済み端末と必要な通信経路に限定し、操作記録を確認する。
  • エ. 教育は利用開始後に必要になった時点で行い、初期運用では省略する。
▶ クリックして答えと解説を見る（ここを開く）

正解：ウ

解説

  • ア：不適切。管理用アカウントの共有は、責任追跡や不正防止の観点で危険です。
  • イ：不適切。不要な管理経路を残すと、攻撃に使われる入口が増えます。
  • ウ：適切。必要最小限の経路に限定し、操作記録も確認する運用です。
  • エ：不適切。方針や教育は、利用開始前から周知しておくことが重要です。

👉 判断ポイント 共有・不要な接続・教育不足はNG、必要最小限・記録確認・方針整備はOK と考えます。

まとめ（試験直前用）

  • コンピュータ不正アクセス対策基準は、不正アクセス被害の予防・発見・復旧・再発防止のための基準です。
  • 4つの基準は、システムユーザ、システム管理者、ネットワークサービス事業者、ハードウェア・ソフトウェア供給者に分かれます。
  • ID共有、管理者権限の常用、不要な接続範囲の拡大は不適切になりやすいです。
  • セキュリティ方針の文書化、教育・周知、必要最小限の権限と通信経路は適切な方向です。

© 2024-2026 stemtazoo. All rights reserved.