平成27年度 秋期 システム監査技術者試験 午前II 問21

ア: 管理者のアクセスログは取得するが，プライバシーを考慮して，一般利用者のアクセスログは取得しない。
誤り。PCI DSSでは，アクセスログは管理者だけでなく，一般利用者のアクセスについても取得・監視することが求められています。

イ: 従業員によるネットワーク外部からのリモートアクセスを許可する場合，管理者以外の従業員は利用者IDとそのIDのパスワードだけの認証でよい。
誤り。リモートアクセスでは，IDとパスワードのみではなく，多要素認証（MFA）が推奨されており，追加のセキュリティ対策が必要です。

ウ: 伝送中及び保存中のパスワードは，暗号化して解読不能にする。
正しい。PCI DSSでは，パスワードや機密情報は適切な暗号化を施し，安全に保存・伝送することが求められています。

エ: 利用されない利用者IDの削除及び無効化は，1年に1回まとめて行う。
誤り。PCI DSSでは，未使用のアカウントは速やかに無効化または削除することが推奨されており，年に1回まとめて対応するのは適切ではありません。