最小権限の原則に沿った運用として正しいものはどれか。

正解：C. 利用者やプログラムには、業務に必要な最小限の権限だけを与え、普段の作業は管理者ではないアカウントで行う

最小権限の原則は、利用者、プログラム、サービスのアカウントに、役割を果たすのに必要な最小限の権限だけを与えるという考え方です。権限を絞っておけば、アカウントが乗っ取られたり、マルウェアが動いたり、操作を誤ったりしたときでも、被害が及ぶ範囲を小さくできます。例えば、普段のメールやWebの閲覧は一般の権限のアカウントで行い、管理者の権限は必要な作業のときだけ使います。情報についても、業務で知る必要がある人だけがアクセスできるようにする「必要な人だけに知らせる(ニードトゥノウ)」の考え方があります。異動や退職のときに不要になった権限をすぐに取り消すことも大切です。

• A. 全員が管理者の権限を持つと、1つのアカウントが乗っ取られただけでシステム全体が危険にさらされます。
• B. 業務に必要のない人まで読み書きできると、情報の漏えいや改ざんの範囲が広がります。
• C. 正しい。必要な最小限の権限だけを与え、被害の範囲を小さくします。