情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

問題：https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2019h31_1/2019h31h_sc_pm1_qs.pdf

設問2の(3)について、具体的な被害のイメージがわきません。
範囲が、「ゲームサーバ管理者自身が管理するゲームサーバ上で動作する全ゲームプログラム」であれば、問題がないように思ってしまうのですが..
もちろん、範囲が他のゲーム会社のプログラムだったら悪い気はするのですが,
そのあたり被害として具体的にどのようなことが考えられるのでしょうか。

恐れ入りますがよろしくお願い致します。

ゲームサーバ管理者にモラルがなく
・知人・友人に認証トークンを教える
・その知人・友人が別の人間に拡散
・挙句はネットに流出する
という事態も考えられます。

pixさん

ご回答誠にありがとうございます。

申し訳ありません、追加で疑問が生まれてしまったのですが、
この"管理者"とは何を管理するイメージでしょうか？

と言いますのも、本来の望ましい状態が「管理者は認証トークンを不正に生成できない」
というお話だとすると、管理者が自由にゲームサーバのゲームプログラムを操作できないということになってしまうのでは？と思ってしまいて。

恐れ入りますがよろしくお願い致します。

「管理者」とはサーバ管理者を指すと考えれられます。
サーバ管理者はこのサーバのOS、ミドルウェアなどの
管理権限があり、これらのデータに対するアクセス権があります。

ゲームプログラム自体はサーバ内では単なるデータであり、
そのデータはサーバ内のDBのデータまたはファイルとして存在します。

又、共通鍵もサーバ内部では単なるファイルとして存在します。
この共通鍵の本来の所有者・権利者はゲーム会社であり、
サーバ管理者はこの共通鍵を責任もってお預かりしていることに
なります。

共通鍵は認証トークンの生成材料となりますので、
共通鍵の悪用は秘密保持契約（NDA）などで禁止事項に
該当すると考えられます。

本問のシナリオとして、当初は性善説に基づいてサーバ管理者が
不正を行わないことを想定しておりました。
しかし、最悪の事態を想定して、サーバ管理者が不正を行えない
ような枠組みを構築するというのがテーマとなっております。

pixさん

ありがとうございます。

なるほど、ご教示いただいたテーマを意識するとすんなり理解できました。

ありがとうございました！