4. 攻撃等の防御/4-1 アイデンティティ管理、認証、アクセス制御

要求事項 No.4-1-7
アクセス権の管理ルール

• ★3 対象
• ★4 対象

原文要求事項

評価基準

• No.4-1-7-1★3

  ・業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室について、以下の内容の管理ルールを定めること。

  -アクセス権の発行・変更・削除は申請・承認制であること。

  -与える入室許可・アクセス権の範囲は必要な範囲に限定すること。

  -入室権限及びアクセス権の棚卸について定めていること。

  -与えた入室許可・アクセス権の申請書又は台帳を管理していること。

• No.4-1-7-2★4

  ・年１回以上の頻度で役員、従業員、派遣社員及び受入出向者に付与したアクセス権の棚卸を実施すること。

• No.4-1-7-3★4

  ・重要な機密情報を扱うシステムは、アクセス権を付与するための条件を定めること。

• No.4-1-7-4★4

  ・重要な機密情報を扱うシステムにおけるアクセス権の設定に当たっては、システム管理者の要件及び設定手順を定めること。

• No.4-1-7-5★4

  ・重要な機密情報を扱うシステムは、ユーザ及び管理者ごとに必要最小限の権限を付与し、個人に権限が集中しない環境とすること。

• No.4-1-7-6★4

  ・重要な機密情報を扱うシステムは、付与したアクセス権の運用/利用状況を監視する仕組みを整備すること。