評価基準 No.4-1-1-2
ユーザIDの管理手続
版を固定した URL です（400-v1.1）。現在の版は 評価基準 No.4-1-1-2 を見てください。
原文要求事項と評価基準
要求事項 No.4-1-1 ユーザIDの管理手続
ユーザIDの発行・変更・削除の手続を定めること。
評価基準 No.4-1-1-2（★3）
・ユーザIDの共有について、以下のいずれかを適用すること。
-ユーザIDを共有しない。
-やむを得ず共有IDが必要な場合(例えば、システムの仕様により、使用人数分のユーザIDを発行することができない場合)は、共有IDを利用したユーザを特定できるようにする。
出典
出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」59 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得
原文対象外となるための条件・適合基準
対象外となるための条件
該当なし
適合基準
①ユーザ ID の共有について、以下のいずれかの手続を適用していること。
-ユーザ ID を共有しない。
-やむを得ず共有 ID が必要な場合（例えば、システムの仕様により、使用人数分のユーザID を発行することができない場合）は、共有 ID を利用したユーザを特定できるようにする。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-1-2、49〜50 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=49。2026-11-03 取得
原文自己評価方法（SCS-410）
①ID 管理規程、ID 管理台帳、ID 管理システム等を確認し、ユーザ ID の共有について、以下のいずれかの手続を適用していることを確認する。
-ユーザ ID を共有しない。
-やむを得ず共有 ID が必要な場合（例えば、システムの仕様により、使用人数分のユーザID を発行することができない場合）は、共有 ID を利用したユーザを特定できるようにする。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-1-2、49〜50 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=49。2026-11-03 取得
原文第三者評価の評価手法（SCS-420）
▶質問
ユーザ ID の共有に係る手続について定めた文書の文書名を質問する。
▶閲覧
ユーザ ID の共有に係る手続について定めた文書を閲覧し、ユーザ ID の共有について、以下のいずれかの手続きが適用されていることを確認する。
-ユーザ ID を共有しない。
-やむを得ず共有 ID が必要な場合（例えば、システムの仕様により、使用人数分のユーザ ID を発行することができない場合）は、共有 ID を利用したユーザを特定できるようにする。
▶観察
原則として実施しない。
出典
出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-1-2、58〜59 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=58。2026-11-03 取得
公式解説SCS-620 の解説
ユーザ ID の共有について、原則としてどのような管理を行うことが考えられるか？
・ユーザ ID は基本的には個人に紐づいて作成・利用することが望ましい。
・安易にユーザ ID を共有することを許容するのではなく、同一の権限を持つ複数ユーザを作成するなど操作するユーザが識別できるようにしておくことが望ましい。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-1 【解説】、60 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=60。2026-11-03 取得
「やむを得ず共有 ID が必要な場合」、ユーザを特定できるようにするために、どのような管理を行うことが考えられるか？
・共有 ID は、その利用履歴だけでは利用者を特定できないため、不正な利用の検知が難しく、またセキュリティインシデントが発生した場合の真相究明の支障となる可能性がある。
・やむを得ずユーザ ID を共有する場合は、ユーザごとにアクセス管理簿を記録したり、作業日報でアクセス実績を記録するなどの運用を行うことが考えられる。
・やむを得ず複数のユーザで ID を共有する場合は代表者を選定し、定期的にパスワードを変更したり、共有が必要なユーザを見直すなどの運用を行うことが望ましい。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-1-1 【解説】、60 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=60。2026-11-03 取得
関連
- 関連する項目はありません。
改訂
この評価基準に関わる公式の改訂の記録はありません。