アクセス管理とは？

アクセス管理の意味

利用者の識別・認証と、職務に応じた権限付与、権限の変更・削除、定期的な棚卸を通じて、情報資産へのアクセスを適切に制御する管理活動。最小権限の原則とNeed to knowが基本となる。

アクセス管理の具体例

異動・退職の都度アクセス権を見直し、半期ごとに権限一覧を所属長が承認する棚卸を実施する。

アクセス管理は試験でどう引っ掛けられる？

付与の手続だけでなく、削除（退職者・異動者の権限剥奪）の運用が監査で最も問題になりやすい。

アクセス管理と関連する用語

• 最小権限の原則
• 特権ID管理
• IT全般統制

アクセス管理が出た過去問

• IT統制は、ITに係る全般統制や業務処理統制などに分類される。全般統制はそれぞれの業務処理統制が有効に機能する環境を保証する統制活動のことをいい、業務処理統制は…

  正解：人事システムの機能ごとに利用者を限定するアクセス管理の仕組み

  要点：業務処理統制は個別システム内で処理の正確性を担保する

  IT統制のうち業務処理統制は、個々の業務システムにおいて、承認された取引だけが漏れなく正確に処理・記録されることを担保する統制である。人事システムの機能単位で利用者を限定する仕組みは、その業務システム内で不正・誤りのある処理を防ぐものなので業務処理統制にあたる。委託先管理やネットワーク運用管理、全社的な開発・保守規程は、各業務処理統制が有効に働く土台をつくるIT全般統制に分類される。

  出典：平成25年度 秋期 ITパスポート試験 問28（IPA）

• IT統制は、ITに係る全般統制や業務処理統制などに分類される。全般統制はそれぞれの業務処理統制が有効に機能する環境を保証する統制活動のことをいい、業務処理統制は…

  正解：全社で共通に用いるシステム開発規程

  要点：全般統制は開発・運用など全社共通の土台を整える統制

  IT全般統制は、個々の業務システムが正しく動く土台となる環境そのものを整える統制で、システムの開発や変更、運用、アクセス管理といった全社共通の仕組みが該当する。これに対し、入力チェックやマスタの維持、エラー修正手続など個別業務の処理の正確性を担保するものは業務処理統制に分類される。全社共通の開発規程は前者にあたる。

  出典：平成25年度 春期 ITパスポート試験 問31（IPA）

• アクセス管理者は，不正アクセスからコンピュータを防御する役割を担う。不正アクセス禁止法において，アクセス管理者が実施するよう努力すべきこととして定められている行…

  正解：アクセス制御機能の有効性を検証する。

  要点：アクセス管理者はID管理とアクセス制御の維持に努める

  不正アクセス禁止法では、アクセス管理者に対して、識別符号（IDやパスワード）の適正な管理やアクセス制御機能の高度化など、不正アクセスを防ぐ措置を講ずる努力義務を定めている。アクセス制御機能が有効に働いているかを検証することはこの努力義務に含まれる。ログの提出義務や常時監視の体制、利用者のパスワードを管理者が変更することは法が求める内容ではない。

  出典：平成27年度 秋期 ITパスポート試験 問28（IPA）

• 内部統制の一環として，業務分掌と整合のとれたアクセス管理を実現することになった。情報システムの開発において，アクセス管理の検討を開始するプロセスとして，適切なも…

  正解：要件定義

  要点：アクセス権限は業務要求。要件定義で検討を始める

  誰にどの情報へのアクセスを認めるかは業務上の権限（業務分掌）そのものであり、システムに求める要求のひとつである。したがって上流の要件定義の段階で検討を始める必要がある。後工程になるほど設計のやり直しが大きくなり、運用開始後に手当てすると統制上の空白期間が生じてしまう。

  出典：平成27年度 秋期 ITパスポート試験 問30（IPA）

• IT統制は、ITに係る業務処理統制や全般統制などに分類される。業務処理統制は業務を管理するシステムにおいて、承認された業務が全て正確に処理、記録されることを確保…

  正解：購買業務システムに入力されるデータが重複なく入力されるような統制

  要点：業務処理統制は入力〜記録の正確性、全般統制はその土台

  業務処理統制は、個々の業務システムの中で、承認された取引が漏れなく重複なく正確に処理・記録されることを確保する仕組みである。入力データの重複を防ぐチェックはまさにこれに当たる。一方、アクセス管理、システムの運用・管理、開発・保守の管理は、複数の業務処理統制が有効に働く土台を支えるものであり、IT全般統制に分類される。

  出典：平成28年度 春期 ITパスポート試験 問45（IPA）