【SC試験】内部不正対策 — 午前I・午前II・午後 問題セット

正解： イ

解説：

• ア）不正解。内部不正対策は性善説だけに頼るのではなく，最小権限の原則やアクセス制御，ログ監視といった技術的・組織的対策を組み合わせる「性弱説」的アプローチが基本（IPA「組織における内部不正防止ガイドライン」等）。
• イ）正解。最小権限の原則（Least Privilege）は，従業員に業務上必要な範囲を超えた権限を与えないことで，不正やミスによる被害範囲を限定する内部不正対策の基本原則である。
• ウ）不正解。退職者アカウントは，不正利用のリスクを避けるため退職日当日（またはそれ以前）に速やかに権限剥奪・アカウント無効化を行うべきであり，「1か月以内で十分」は重大なリスクを放置することになる。
• エ）不正解。罰則規定の周知（抑止効果）は重要だが，それだけでは不十分であり，操作ログの取得・監視等の技術的対策と組み合わせることで，実効性のある内部不正対策となる。

正解： イ

解説：

• ア）不正解。IDの共有利用は「誰がいつ何を行ったか」の追跡（アカウンタビリティ）を不可能にし，内部不正の温床となる。特権IDは個人に紐づけて管理するか，個人特定可能な形で払い出すべき。
• イ）正解。特権ID管理ツール（PAM: Privileged Access Management）による申請・承認ワークフローの一元管理，利用の都度のパスワード変更（ワンタイムパスワード化）は，特権IDの不正利用・濫用を防ぐ有効な内部不正対策である。
• ウ）不正解。特権IDは強力な権限を持つがゆえに，むしろ通常IDよりも厳格な操作ログの取得・監視が必要とされる。「対象外」「取得不要」は誤り。
• エ）不正解。申請者と承認者を分離する職務分掌（Segregation of Duties）は内部不正対策の基本原則であり，同一人物が兼務することは不正の温床となるため推奨されない。

正解例： 誰がいつどの操作を行ったかを個人単位で追跡でき，不正行為に対する牽制・抑止力と事後の追跡可能性が向上する（50字）

解説・採点基準（計15点）：

共通アカウントの利用は，操作記録が個人に紐づかないため，不正行為が発生しても実行者を特定できない「アカウンタビリティの欠如」という重大な問題を生む。個別アカウント化により操作ログが個人と結びつき，事後追跡が可能になるだけでなく，「見られている」という意識が不正行為の抑止（牽制効果）にもつながる。

正解例：

• 職務分掌の目的：担当者が単独では振込データの作成から承認までの不正操作を完結できないようにするため（46字）
• 再発防止策：人事システムの退職情報と連携し，退職日当日にアカウントを自動的に無効化する仕組みを導入する（49字→短縮：人事システムと連携し，退職情報を基にアカウントを自動的に即時無効化する（36字））

解説・採点基準（計15点）：

職務分掌（作成者と承認者の分離）は，一人の担当者が不正な振込データの作成から承認までを単独で完結できないようにすることで，共謀がない限り不正が成立しない体制を作る対策である。また，退職者アカウントの削除漏れは人手による申請・削除プロセスの遅延や失念が原因であることが多く，人事システムと権限管理システムを連携させ，退職情報を自動的にアクセス権限へ反映する仕組み（アイデンティティガバナンス）が再発防止の鍵となる。