利用者アクセス管理

要点と定義

利用者アクセス管理では、利用者が業務に必要な情報システムへ適切にアクセスできるよう、認証やアクセス権限を管理します。権限は担当職務や人事異動などを反映し、定期的に確認します。IPAシラバス Ver.4.1 PDFの第19頁

社外から内部ネットワークへ接続する運用では、接続の入口で利用者を認証すると、許可された利用者に接続を限定できます。

接続元を制限する場合は、実際のネットワーク経路に合う情報を使います。社内ネットワークを経由してクラウドサービスを利用する構成では、会社のグローバルIPアドレスを接続元条件にする方法があります。

アカウントの申請と承認は、別の権限に分けると相互牽制になります。申請者が自分の申請を承認できる状態を避け、誰が何を行うかを分けます。

従業員IDの棚卸では、各システム管理者に現在のID情報一覧の出力を依頼します。

退職者一覧とID情報一覧を照合し、業務上のアクセス要否を各システムを使う業務の責任者に確認します。無効化が必要なIDは、その判断を受けてシステム管理者に依頼します。

異動などによるアカウントの変更は、本人の申告だけに頼らず、異動を把握する立場から都度連絡を受ける運用が適します。年に一度だけ確認する方法では、変更の反映が遅れる場合があります。

権限を追加する理由は、必要な業務対応と結び付けて判断します。例えば、担当者が不在でも利用者からの停止依頼を処理できるようにする場合は、担当者以外にもその処理権限が必要です。

適用条件と例

VPN（ブイピーエヌ）接続が内部ネットワークへの入口であるなら、VPNサーバで利用者を認証することが侵入防止に直接結び付きます。ファイル共有サービスやプロキシでの認証は、それぞれのサービス利用者を識別する対策であり、VPN接続そのものを制限する目的とは異なります。

接続元IPアドレスを条件にできるのは、利用者の通信が想定したネットワークを通る場合です。例えば、社内LAN経由でサービスに接続する構成なら、会社のグローバルIPアドレスに限定して、社外からの直接接続を制限できます。端末のMACアドレスはインターネット越しの接続元制限にそのまま使えるとは限りません。

職務分離は、申請と承認のような相反する操作を別の権限に割り当てる考え方です。たとえば、口座情報の変更を一人の判断だけで反映できないよう、変更申請と承認の権限を分けます。

棚卸では、人事部の退職者情報だけでは各システムに実際に登録されたIDを把握できません。また、前回の一覧ではその後に追加されたIDが漏れます。各システムの現行一覧と、業務責任者による利用要否の判断を組み合わせます。