アクセス権の誤設定

アクセス権の誤設定は、ファイル、DB、クラウドストレージ、API、管理画面等へ、本来必要のない主体に閲覧・変更・実行権限を与え、又は必要な主体を拒否してしまう設定上の脆弱性です。

■ 試験で押さえるポイント

• 全員公開、匿名アクセス、過大な管理権限、誤ったグループ継承、外部共有リンク、退職者権限残存などが漏えい・改ざんの原因になります。

• 最小権限、職務ベースの役割、既定拒否、期限付き権限、特権分離を採用し、付与・変更・削除を承認された手順で管理します。

• Infrastructure as CodeやPolicy as Code、構成スキャンで公開・過大権限を自動検出し、定期棚卸しと実効権限レビューで継承結果まで確認します。

• 閲覧権限の過大付与は機密性、更新権限は完全性、必要権限の不足は可用性へ影響するため、単に「非公開」にすればよいとは限りません。

■ 選択肢での判断ポイント

設定ミスによる過大・不足権限が問題です。既定拒否、最小権限、定期レビュー、自動構成検査を押さえます。

例: 社内限定の顧客ファイルがリンク所持者全員へ公開されていないかを自動検査し、部署役割だけへ閲覧権限を限定します。