評価基準 No.4-1-5-3
パスワード設定ルール

要求事項 No.4-1-5 パスワード設定ルール

パスワード設定に関するルールを定め、周知すること。

評価基準 No.4-1-5-3（★3）

・ユーザ認証にパスワードを利用する場合、以下のいずれかの保護対策を講じるよう社内ルールを定めること。

-No.4-1-3-3で示す認証要素を利用した多要素認証を使用するか、又は試行が少なくとも10回失敗した場合にアカウントロックするように制限したうえで、パスワードの長さを8文字以上とする。

-上記のとおり多要素認証又は試行回数の制限を実施できない場合、パスワードの長さは、英大文字小文字、数字を含めた10文字以上とする。

対象外となるための条件

ユーザ認証にパスワードを利用しない場合

適合基準

①ユーザ認証にパスワードを利用する場合、以下のいずれかの保護対策を講じるよう社内ルールを定めていること。

-No.4-1-3-3 で示す認証要素を利用した多要素認証を使用するか、又は試行が少なくとも10 回失敗した場合にアカウントロックするように制限したうえで、パスワードの長さを 8文字以上とする。

-上記のとおり多要素認証又は試行回数の制限を実施できない場合、パスワードの長さは、英大文字小文字、数字を含めた 10 文字以上とする。

②①で定めた社内ルールを、ユーザ認証において適用していること。

①認証・パスワード管理規程等を確認し、ユーザ認証にパスワードを利用する場合、以下のいずれかの保護対策を講じるよう社内ルールを定めていることを確認するとともに、そのルールの文書名を確認する。

-No.4-1-3-3 で示す認証要素を利用した多要素認証を使用するか、又は試行が少なくとも10 回失敗した場合にアカウントロックするように制限したうえで、パスワードの長さを 8文字以上とする。

-上記のとおり多要素認証又は試行回数の制限を実施できない場合、パスワードの長さは、英大文字小文字、数字を含めた 10 文字以上とする。

②認証・パスワード管理規程、システム設定画面、認証ログ及び設定確認結果等を確認し、①で定めた社内ルールを、ユーザ認証において適用していることを確認する。

▶質問

ユーザ認証にパスワードを利用する場合の保護対策について定めた社内ルールの文書名を質問する。

▶閲覧

ユーザ認証にパスワードを利用する場合の保護対策について定めた社内ルールを閲覧し、評価基準に規定するいずれかの保護対策を講じる旨が定められていることを確認する。

▶観察

認証システムの管理画面等を観察し、評価基準に規定するいずれかの保護対策を講じる旨が定められていることを確認する。