SCS評価制度とID管理・認証・アクセス管理についてわかりやすく解説

• 自社の役員、従業員、派遣社員及び受入出向者に対するユーザIDの付与・変更・削除は申請・承認制にすること。

• ユーザIDの共有について、以下のいずれかを適用すること
  • ユーザIDを共有しない。
  • やむを得ず共有IDが必要な場合(例えば、システムの仕様により、使用人数分のユーザIDを発行することができない場合)は、共有IDを利用したユーザを特定できるようにする。

• ユーザIDが不要になった場合(例えば、ユーザが組織を退職した場合又はユーザIDが一定期間使用されなかった場合)、速やかにユーザIDを削除又は無効化すること。

• ユーザIDに付与したアクセス権が不要になった場合(例えば、ユーザの業務上の役割が変わった場合)は、当該権限を速やかに削除又は無効化すること。

• すべてのサーバ及びネットワーク機器について、システム管理者及び責任者を定めること。

• 管理者権限を付与する役員、従業員、派遣社員及び受入出向者を限定したうえで、管理者IDについて以下のいずれかを適用すること。
  • 管理者IDを共有しない。
  • やむを得ず管理者IDの共有が必要な場合（例えば、システムの仕様により、使用人数分のIDを発行することができない場合）は、共有の管理者IDを利用したユーザを特定できるようにすること。

• 各管理者IDに対して当該IDの用途に応じた必要最低限の権限のみを付与すること。

• 開発環境を利用する役員、従業員、派遣社員及び受入出向者が本番環境において、開発環境における管理者権限で操作できないようにすること。

• 組織内でどの役員、従業員、派遣社員及び受入出向者が管理者IDを持っているかを把握するための仕組みを整備すること。

• 管理者IDが不要になった場合（例えば、管理者が組織を退職した場合及び管理者IDが一定期間使用されなかった場合）、速やかに管理者IDを削除又は無効化すること。

• 管理者IDの付与・変更・削除は申請・承認制にすること。

• 管理者IDの付与・変更・削除並びにサーバ及びネットワーク機器の設定内容の変更を行う権限を業務上必要な役員、従業員、派遣社員及び受入出向者に限定すること。

• すべてのユーザID及び管理者IDについて、システム及び情報機器へのアクセスを許可する前に、ユーザIDごとに設定されている認証情報（パスワード等）でユーザを認証すること。

• 重要な機密情報を取り扱うクラウドサービスにおいて、ユーザ及び管理者がサービスにアクセスする場合は、常にNo.4-1-3-3で示す認証要素を利用した多要素認証を使用すること。

• 多要素認証の使用に当たっては、以下のいずれかの要素から2種類以上を選択し、利用すること。
  • 知識情報（例：ID・パスワード）
  • 所有情報（例：ワンタイムパスワード※又は証明書）
  • 生体情報（例：指紋、顔、虹彩又は静脈）
  • その他の情報（例：IPアドレス）

※利用者のメールアドレス、電話番号等に対してワンタイムパスワードを送信して利用者に入力させる方法及びスマートフォンへの認証要求を利用した認証方式を含む。

• 多要素認証の知識情報として用いるパスワードは、8文字以上とすること。

• 重要な機密情報を取り扱うシステムにおいて、No.4-1-3-2で対象としているクラウドサービスへのアクセスに加えて、以下に示す場合は、常にNo.4-1-3-3で示す認証要素を使用した多要素認証を使用すること。
  • インターネットを経由して社内環境へ接続する場合
  • 管理者がインターネット経由でシステムにアクセスする場合
  • ユーザがインターネット経由で重要な機密情報を取り扱うシステムにアクセスする場合

• パソコンへのログオン及びスマートデバイスのロック解除にあたって、以下のいずれかを適用すること。
  • 試行回数を調整し、試行が失敗するたびに試行間隔が長くなるようにする。
  • 試行が少なくとも10回以上失敗すると端末をロックする。
  • 上記で示す要件のいずれも設定することができない場合、No.4-1-5で求められるよりも強度の高いパスワードを用いる等の代替策を用いること。

• パソコンへのログオン及びスマートデバイスのロック解除を行う場合、最低でも6文字以上のパスワード又はPINを利用すること。

• パソコン、サーバ、スマートデバイス及びクラウドサービスの利用者又は管理者は、それらにおけるデフォルトパスワードを変更するよう社内ルールを定めること。

• ユーザ認証にパスワードを利用する場合、推測されやすい単語の設定を禁止するよう社内ルールを定めること。

• ユーザ認証にパスワードを利用する場合、以下のいずれかの保護対策を講じるよう社内ルールを定めること。
  • No.4-1-3-3で示す認証要素を利用した多要素認証を使用するか、又は試行が少なくとも10回失敗した場合にアカウントロックするように制限したうえで、パスワードの長さを8文字以上とする。
  • 上記のとおり多要素認証又は試行回数の制限を実施できない場合、パスワードの長さは、英大文字小文字、数字を含めた10文字以上とする。

• ユーザ認証にパスワードを利用する場合、情報機器及びサービス間でのパスワードを使い回さないよう社内ルールを定めること。

• No.4-1-5-1からNo.4-1-5-4までで定めたパスワード設定に関するルールについて、役員、従業員、派遣社員及び受入出向者を対象に周知すること。

• 紙媒体への記載及び施錠保管、パスワード管理アプリの利用等により、パスワードを安全に保管するよう社内ルールを定めること。

• パスワードの漏洩が判明した場合、又はその疑いがある場合に速やかにパスワードを変更するための手順を定めること。

• No.4-1-6-1及びNo.4-1-6-2で定めたパスワードの管理に関するルールについて、役員、従業員、派遣社員及び受入出向者を対象に周知すること。

• 業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室について、以下の内容の管理ルールを定めること。
  • アクセス権の発行・変更・削除は申請・承認制であること。
  • 与える入室許可・アクセス権の範囲は必要な範囲に限定すること。
  • 入室権限及びアクセス権の棚卸について定めていること。
  • 与えた入室許可・アクセス権の申請書又は台帳を管理していること。

• 年１回以上の頻度で役員、従業員、派遣社員及び受入出向者に付与したアクセス権の棚卸を実施すること。

• 重要な機密情報を扱うシステムは、アクセス権を付与するための条件を定めること。

• 重要な機密情報を扱うシステムにおけるアクセス権の設定に当たっては、システム管理者の要件及び設定手順を定めること。

• 重要な機密情報を扱うシステムは、ユーザ及び管理者ごとに必要最小限の権限を付与し、個人に権限が集中しない環境とすること。

• 重要な機密情報を扱うシステムは、付与したアクセス権の運用/利用状況を監視する仕組みを整備すること。