利用者アクセス管理

要点と定義

利用者アクセス管理では、情報資産やシステムを使う人と、その人が閲覧・変更できる範囲を適切に定めます。権限は担当業務に必要な範囲に絞ります。必要最小限の権限にする目的には、権限を持つ人による情報の不正な閲覧など、内部不正のリスクを抑えることも含まれます。

申請・承認・設定の担当を区別します。たとえば利用部署の責任者が情報オーナ部署の責任者に権限を申請し、承認を受けた後、情報システム部に設定を依頼する手順があります。誰が権限を決め、誰がシステムに設定するかは、組織の規程や運用手順で確認します。

利用者IDは利用者ごとに発行し、複数人で共有しません。担当交代で引継ぎ期間がある場合は、新任者に別のIDを発行して各自が自分のIDを使い、引継ぎが終わったら退任者のIDを速やかに無効化します。

適用条件と例

担当交代時の手続では、新任者の着任予定日、退任者の退任予定日、停止対象を特定する退任者の利用者IDなど、発行・設定・停止の時期と対象を判断できる情報を確認します。担当業務と必要な情報が既に明確なら、本人が希望する情報を一律に追加で尋ねる必要はありません。

例として、図書室の貸出記録を扱う担当者が予約受付から蔵書点検へ異動するなら、新しい担当業務に必要な情報を確認し、不要になった記録への権限を見直します。異動・退職でIDが不要になったときは、定期棚卸の時期を待たずに削除を申請し、システム上でも速やかに無効化します。定期的な棚卸は残存権限の発見に役立ちますが、不要になったIDの速やかな削除に代わるものではありません。

運用状況を評価するときは、対象の利用やリスクが実際にあるかを確かめます。部門でリモート接続を誰も行わず、その接続用パスワードも使わない場合、その変更頻度の評価項目は「該当なし」と判断できます。対象の運用があるなら、実施状況を確認して評価します。