評価基準 No.4-1-3-5
認証の強度・実装方法の決定

要求事項 No.4-1-3 認証の強度・実装方法の決定

システム及び情報の重要度に応じて認証の強度及び実装方法を決定すること。

評価基準 No.4-1-3-5（★4）

・重要な機密情報を取り扱うシステムにおいて、No.4-1-3-2で対象としているクラウドサービスへのアクセスに加えて、以下に示す場合は、常にNo.4-1-3-3で示す認証要素を使用した多要素認証を使用すること。

-インターネットを経由して社内環境へ接続する場合

-管理者がインターネット経由でシステムにアクセスする場合

-ユーザがインターネット経由で重要な機密情報を取り扱うシステムにアクセスする場合

対象外となるための条件

評価基準に定める場合に該当するアクセスを行っていない

適合基準

①インターネットを経由して社内環境へ接続する場合、No.4-1-3-3 で示す認証要素を使用した多要素認証を常に使用していること。

②管理者がインターネット経由でシステムにアクセスする場合、当該多要素認証を常に使用していること。

③ユーザがインターネット経由で重要な機密情報を取り扱うシステムにアクセスする場合、当該多要素認証を常に使用していること。

①認証システム等を確認し、インターネットを経由して社内環境へ接続する場合、No.4-1-3-3 で示す認証要素を使用した多要素認証を常に使用していることを確認する。

②認証システム等を確認し、管理者がインターネット経由でシステムにアクセスする場合、当該多要素認証を常に使用していることを確認する。

③認証システム等を確認し、ユーザがインターネット経由で重要な機密情報を取り扱うシステムにアクセスする場合、当該多要素認証を常に使用していることを確認する。

▶質問

①インターネットを経由して社内環境等へ接続する場合があるかを質問する。

②社内環境等へ接続する際の認証方法について質問する。

▶閲覧

原則として実施しない。

▶観察

登録希望組織の従業員によるインターネットを経由した社内環境へのアクセスを観察し、多要素認証が使用されていることを確認する。