アクセス管理の監査

視点

アクセス権限の設定

need to know（業務上の必要性）に基づいて付与する

システム管理者の権限

サーバ・ソフトウェアの維持管理

業務管理者の権限

入力データの承認権限を与える

入力権限は与えない

一般ユーザの権限

入力権限を与える

承認後のデータの削除・変更権限は与えない

パスワード管理

システム管理者用の導入初期パスワードは適切に変更されているか

人事異動・退職に際して、人事情報システムと連携して適時・適切に管理しているか

アクセス状況をモニタリングしているか

監査項目例

アクセス権管理機能

アクセス権の付与

アクセス権の削除

アクセス権の棚卸し

パスワード管理

アクセス状況の分析

媒体の管理状況

機器

システム管理者

不要なアクセス権限の削除って、仕組み化するのが難しいですね

基本的には部署異動でリセットで、

長期未使用なら上長に確認メールですかね。