評価基準 No.4-1-3-2
認証の強度・実装方法の決定

要求事項 No.4-1-3 認証の強度・実装方法の決定

システム及び情報の重要度に応じて認証の強度及び実装方法を決定すること。

評価基準 No.4-1-3-2（★3）

・重要な機密情報を取り扱うクラウドサービスにおいて、ユーザ及び管理者がサービスにアクセスする場合は、常にNo.4-1-3-3で示す認証要素を利用した多要素認証を使用すること。

対象外となるための条件

重要な機密情報をクラウドサービス上で取り扱っていない場合

適合基準

①重要な機密情報を取り扱うクラウドサービスにユーザ又は管理者がアクセスする場合、常に No.4-1-3-3 で示す 2 種類以上の認証要素を利用した多要素認証を使用していること。

①クラウドサービスで重要な機密情報を取り扱っているかを確認する。

②取り扱っている場合、クラウドサービスの仕様等を確認し、ユーザ又は管理者がアクセスする場合に、No.4-1-3-3 で示す 2 種類以上の認証要素のどのような組み合わせで多要素認証を実現しているかを確認する。

▶質問

①クラウドサービスで重要な機密情報を取り扱っているか、その重要な機密情報はどのようなものであるかを質問する。（重要な機密情報であるかの判断までは求めない。）

②取り扱っている場合、重要な機密情報を取り扱っているクラウドサービスごとにNo.4-1-3-3 で示す 2 種類以上の認証要素のどのような組み合わせで多要素認証を実現しているかを質問する。

▶閲覧

原則として実施しない。

▶観察

重要な機密情報を取り扱うクラウドサービスのうち 1 つを抽出し、登録希望組織の従業員による重要な機密情報を取り扱うクラウドサービスへのログインを観察し、No.4-1-3-3 で示す認証要素を用いた多要素認証が使用されていることを確認する。