評価基準 No.4-1-7-1
アクセス権の管理ルール
原文要求事項と評価基準
要求事項 No.4-1-7 アクセス権の管理ルール
アクセス権の管理ルールを定めること。
評価基準 No.4-1-7-1（★3）
・業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室について、以下の内容の管理ルールを定めること。
-アクセス権の発行・変更・削除は申請・承認制であること。
-与える入室許可・アクセス権の範囲は必要な範囲に限定すること。
-入室権限及びアクセス権の棚卸について定めていること。
-与えた入室許可・アクセス権の申請書又は台帳を管理していること。
出典
出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」85 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得
原文対象外となるための条件・適合基準
対象外となるための条件
該当なし
適合基準
①業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室について、管理ルールを定めていること。
②①の管理ルールは、以下の全ての内容を含んでいること。
-アクセス権の発行・変更・削除は申請・承認制であること。
-与える入室許可・アクセス権の範囲は必要な範囲に限定すること。
-入室権限及びアクセス権の棚卸について定めていること。
-与えた入室許可・アクセス権の申請書又は台帳を管理していること。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-7-1、65 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=65。2026-11-03 取得
原文自己評価方法（SCS-410）
①業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室について、管理ルールを定めていることを確認するとともに、そのルールの文書名を確認する。
②アクセス権台帳、棚卸記録、利用ログ、監視記録及び是正記録等を確認し、①の管理ルールには、以下の全ての内容を含んでいることを確認する。
-アクセス権の発行・変更・削除は申請・承認制であること。
-与える入室許可・アクセス権の範囲は必要な範囲に限定すること。
-入室権限及びアクセス権の棚卸について定めていること。
-与えた入室許可・アクセス権の申請書又は台帳を管理していること。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-7-1、65 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=65。2026-11-03 取得
原文第三者評価の評価手法（SCS-420）
▶質問
業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室に係る管理ルールの文書名を質問する。
▶閲覧
業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室に係る管理ルールを閲覧し、以下の全ての内容が含まれていることを確認する。
-アクセス権の発行・変更・削除は申請・承認制であること。
-与える入室許可・アクセス権の範囲は必要な範囲に限定すること。
-入室権限及びアクセス権の棚卸について定めていること。
-与えた入室許可・アクセス権の申請書又は台帳を管理していること。
▶観察
原則として実施しない。
出典
出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-7-1、77〜78 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=77。2026-11-03 取得
公式解説SCS-620 の解説
「アクセス権の発行」や「与える入室許可・アクセス権の範囲」が妥当かどうかを判断する具体的な条件は何か？
・その業務を遂行する権限を有しているかどうかが条件となる。その判断の観点としては、次のものがある。
（以下例示）
-所属部門
-役職
-部門内での役割（例：機密管理担当者）
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-7 【解説】、73 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=73。2026-11-03 取得
関連
- 用語集: 定める
改訂
この評価基準に関わる公式の改訂の記録はありません。