権限とセキュリティの運用

Access and security operations

権限の申請を承認して付け、定期に棚卸をして不要な権限を外し、脆弱性の情報を確かめて更新を適用し、パスワードと多要素認証の決まりを運用するまでの流れ。

四半期ごと　権限の申請は随時。棚卸は会社の決めた周期（四半期ごとなど）で行う。脆弱性の情報は、届くたびに。

1　権限の申請と承認

1. 1権限を申請する従業員AIに任せられる
2. 2権限の申請を承認する部門の責任者AIが下書きし、人が確かめる
3. 3権限を付ける情報システムの担当AIに任せられる

2　権限の定期の棚卸

1. 4権限の一覧を出す情報システムの担当AIに任せられる
2. 5権限が今も必要かを確かめる部門の責任者AIが下書きし、人が確かめる
3. 6不要な権限を外す情報システムの担当AIに任せられる

3　脆弱性の情報の確認と対応

1. 7脆弱性の情報を確かめる情報システムの担当AIが下書きし、人が確かめる
2. 8セキュリティの更新を適用する情報システムの担当AIが下書きし、人が確かめる

4　パスワードと多要素認証の運用

1. 9パスワードと多要素認証の決まりを決める情報システムの責任者AIが下書きし、人が確かめる
2. 10多要素認証の登録の状況を確かめる情報システムの担当AIに任せられる
3. 11認証情報の再設定を依頼する従業員AIに任せられる
4. 12本人であることを確かめて再設定する情報システムの担当AIが下書きし、人が確かめる

関係する制度

• 個人データの安全管理と、従業者・委託先の監督（個人情報保護法）
• アクセス管理者の防御措置（不正アクセス禁止法）
• 事業者のサイバーセキュリティ確保の努力（サイバーセキュリティ基本法）

近い APQC PCF の要素

• 8.3.3 Control IT risk, compliance, and security