推奨される取り組み

20 データへのアクセス

設問

情報(データ)や情報システムへのアクセスを制限するために、利用者IDの管理、利用者の識別と認証を適切に実施していますか。

(適切な利用者IDの管理には、利用者IDの定期的な見直しによる不要なIDの削除や共用IDの利用制限、単純なパスワードの設定禁止などがあります。)

説明

適切な利用者IDの管理には、利用者IDに関する規程の整備、利用者IDの定期的な見直しによる不要なIDの削除や共用IDの利用制限、本来必要ではない特権を設定したIDの発見と見直し、見破られやすい単純なパスワードの設定禁止などがあります。

対策のポイント

1.利用者IDの登録や削除に関する規程を整備し、利用者のIDを定期的に見直しているか
2.不要になった利用者IDの無効設定漏れがないか、IDの不正利用がないかなどを定期的に点検しているか
3.空白のパスワードや単純な文字列のパスワードを設定しないよう、利用者に求めているか
4.利用者ごとにIDとパスワードを割当て、そのIDとパスワードによる識別と認証を確実に実施しているか

解説

適切な利用者管理のためには、利用者の登録・削除に関する手続きを定める必要があります。登録しようとする利用者の権限や正当性の確認と、それを承認するプロセスを定めます。利用者の異動や退職によって利用者IDが不要になった場合に、そのIDが登録されたままになることは避けなければなりません。なぜなら、使用されない利用者IDは、権限をもたない者によって不正に使用された場合に、それが不正な使用であることをすぐに発見できないことがあるためです。不要な利用者IDは削除しなければなりません。したがって、不要になった利用者IDを無効にする設定が漏れなくできているか、IDの不正利用がないかなどを、人事異動などのタイミングで定期的に点検する必要があります。なお、システムによっては最初からIDが組み込まれていることもありますが、その場合も不要なら削除する必要があります。
一方、利用者IDをいくら厳密に管理しても、パスワードが設定されていない、あるいは簡単に推測できるようなパスワードが設定されていると、IDを不正に使用される可能性があります。しかし、記憶することが困難なパスワードを設定してしまったためにパスワードを紙に書いて机に張り出しておくなどの行為は本末転倒であり、絶対にあってはなりません。思い出しやすいフレーズなどをうまく利用し、数字や文字だけでなく、記号などを織り交ぜたパスワードを設定するなどの工夫が必要です。また、単純なパスワードを使用しないようにルールを定めるとともに、可能であればシステムの設定で単純なパスワードを排除するようにします。

サービスへのアクセスごとに、利用者のIDとパスワードによる識別と認証を実施します。その際、一つのIDを複数の利用者が共有しないようにします。IDが共有されているとパスワードが利用者以外にも広く知れ渡ってしまう傾向にあり、結果的に誰でも情報にアクセスできてしまい、秘密が守れなくなります。また、そのIDで情報にアクセスしたのが誰なのかを特定することが困難になります。そのため、情報が漏れる、あるいはシステムが破壊された場合に、ID は特定できても、そのIDを使用したのが誰なのかを後から追跡することができず、コンプライアンス違反が発生しても、当事者を見つけることが難しくなります。また、パスワードの変更も困難になります。