評価基準 No.4-1-2-3
管理者IDの管理手続

「必要最低限の権限のみを付与」とは、どのような状態を指すか？

・必要最小限の権限のみ付与とは、権限が利用できる時間的な機会を限定すること又はあらかじめ限られた操作が可能な権限を付与することにより、当該権限を使った不正な操作が発生する機会を減らし、結果的に安全性を強化するものである。

・本対策の例として、システムを通常操作するユーザにおいては、あらかじめ実行できるプログラムやアクセス可能な領域を限定した権限を付与し、管理作業をするときに限定して管理者権限を利用することを可能とする方式（Unix 系システムにおけるsudo 等）が考えられる。

・また、システム管理権限を持つ者が、システム内の機微な個人情報にアクセスする必要があるかについても検討し、システム管理権限とデータベースの管理権限を分離することも有効である。

・管理者権限の悪用・乱用を防ぐためにも、全権限をもつ管理者権限という単一の権限を規定するのではなく、運用シナリオにそって管理者権限を複数に細分化し管理することが望ましい。

API キーやサービスアカウント等はどのように管理すればよいか？

・システム間連携等に使用するサービスアカウント、API キー、アクセストークンその他の認証情報についても、不正利用された場合の影響を踏まえ、適切に管理することが望ましい。例えば、利用目的及び管理責任者を明確にし、必要最小限の権限とするとともに、不要となった場合には速やかに無効化又は削除することが考えられる。また、API キー等の認証情報については、ソースコード等への平文での埋込みを避け、安全に保管することが望ましい。