4. 攻撃等の防御/4-1 アイデンティティ管理、認証、アクセス制御

要求事項 No.4-1-3
認証の強度・実装方法の決定

• ★3 対象
• ★4 対象

原文要求事項

評価基準

• No.4-1-3-1★3

  ・すべてのユーザID及び管理者IDについて、システム及び情報機器へのアクセスを許可する前に、ユーザIDごとに設定されている認証情報(パスワード等)でユーザを認証すること。

• No.4-1-3-2★3

  ・重要な機密情報を取り扱うクラウドサービスにおいて、ユーザ及び管理者がサービスにアクセスする場合は、常にNo.4-1-3-3で示す認証要素を利用した多要素認証を使用すること。

• No.4-1-3-3★3

  ・多要素認証の使用に当たっては、以下のいずれかの要素から2種類以上を選択し、利用すること。

  -知識情報(例：ID・パスワード)

  -所有情報(例：ワンタイムパスワード※又は証明書)

  -生体情報(例：指紋、顔、虹彩又は静脈)

  -その他の情報(例：IPアドレス)

  ※利用者のメールアドレス、電話番号等に対してワンタイムパスワードを送信して利用者に入力させる方法及びスマートフォンへの認証要求を利用した認証方式を含む。

• No.4-1-3-4★3

  ・多要素認証の知識情報として用いるパスワードは、8文字以上とすること。

• No.4-1-3-5★4

  ・重要な機密情報を取り扱うシステムにおいて、No.4-1-3-2で対象としているクラウドサービスへのアクセスに加えて、以下に示す場合は、常にNo.4-1-3-3で示す認証要素を使用した多要素認証を使用すること。

  -インターネットを経由して社内環境へ接続する場合

  -管理者がインターネット経由でシステムにアクセスする場合

  -ユーザがインターネット経由で重要な機密情報を取り扱うシステムにアクセスする場合