利用者アクセス管理

要点と定義

IPAシラバスの項目名は「6-6 利用者アクセスの管理」です。情報システムや執務場所などの情報資産へのアクセス管理を理解し、職務変更や人事異動を反映したアクセス権が適切か定期的に確認する技能が求められます。IPAシラバス Ver.4.1 PDFの第19頁

認証の方式やパスワード、生体認証、ICカード、トークンは、利用者アクセス管理に関わる用語例です。IPAシラバス Ver.4.1 PDFの第19頁

アカウントの乗っ取り対策では、他サービスとのパスワード共用を避ける、投稿を指定業務用PCに限る、多要素認証を使うという対策を状況に応じて組み合わせます。

アカウント管理担当者には、担当業務に必要なアカウントの追加・削除やロール設定の権限を付与し、不要な売上情報へのアクセス権は付与しない判断が必要です。

利用状況を監視する担当者には、対象機能の状況を閲覧する権限を与え、監視に不要な編集権限は与えません。

適用条件と例

パスワード強度が低いと、ログイン試行で正しいパスワードが見つかりやすくなることがあります。連続失敗によるロックは攻撃対策になりますが、利用者が入力を何度も誤った場合もログインできなくなる可能性があります。

ロックの上限は、攻撃時の試行回数だけで決めず、通常利用者の連続失敗回数をログから確認して、利用者への影響を考慮します。具体的な上限値は、失敗回数の分布などの根拠がないと決められません。

グループで共有する情報は、所属メンバーだけが閲覧できる仕組みなら、対象者の所属グループを確認して閲覧可能な範囲を判断します。例えば、営業担当者が全従業員向けと営業担当者向けの各グループに参加していれば、その参加グループの情報が閲覧対象になります。