4. 攻撃等の防御/4-1 アイデンティティ管理、認証、アクセス制御

要求事項 No.4-1-2
管理者IDの管理手続

• ★3 対象
• ★4 対象

原文要求事項

評価基準

• No.4-1-2-1★3

  ・すべてのサーバ及びネットワーク機器について、システム管理者及び責任者を定めること。

• No.4-1-2-2★3

  ・管理者権限を付与する役員、従業員、派遣社員及び受入出向者を限定したうえで、管理者IDについて以下のいずれかを適用すること。

  -管理者IDを共有しない。

  -やむを得ず管理者IDの共有が必要な場合(例えば、システムの仕様により、使用人数分のIDを発行することができない場合)は、共有の管理者IDを利用したユーザを特定できるようにすること。

• No.4-1-2-3★3

  ・各管理者IDに対して当該IDの用途に応じた必要最低限の権限のみを付与すること。

• No.4-1-2-4★3

  ・開発環境を利用する役員、従業員、派遣社員及び受入出向者が本番環境において、開発環境における管理者権限で操作できないようにすること。

• No.4-1-2-5★3

  ・組織内でどの役員、従業員、派遣社員及び受入出向者が管理者IDを持っているかを把握するための仕組みを整備すること。

• No.4-1-2-6★3

  ・管理者IDが不要になった場合(例えば、管理者が組織を退職した場合及び管理者IDが一定期間使用されなかった場合)、速やかに管理者IDを削除又は無効化すること。

• No.4-1-2-7★3

  ・管理者IDの付与・変更・削除は申請・承認制にすること。

• No.4-1-2-8★3

  ・管理者IDの付与・変更・削除並びにサーバ及びネットワーク機器の設定内容の変更を行う権限を業務上必要な役員、従業員、派遣社員及び受入出向者に限定すること。