法令・ガイドラインとアカウント管理

アカウントの管理について、法令と公的なガイドラインが求めることは、文書ごとに言葉は違っても中身は重なっています。誰がそのアカウントを使ったか分かることと、権限を必要最小限にすることです。そして、退職や契約終了のときにアクセスを止めることと、委託先の管理を確かめることです。まず、どの文書が自社に当てはまるかを見分けます。

どの文書が自社に当てはまるか

法律は、当てはまる事業者に義務を課します。ガイドラインは法律の解釈を示すか、対策の手引きとして参考にするもので、それ自体に罰則はありません。認証は、取るかどうかを自社で決めます。

法律は何を義務づけているか

個人情報保護法 23 条は、個人データの「漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置」を義務づけています。情報が漏れたり消えたりしないための対策のことです。24 条は従業者への、25 条は委託先への「必要かつ適切な監督」(適切に扱っているか確かめること)を求めます。通則編の別添は、技術的な措置として「アクセス制御」と「アクセス者の識別と認証」を、講じなければならない措置に挙げています。内容は安全管理措置とはにまとめています。

不正アクセス禁止法は、事業者ではなく行為を対象にした法律です。3 条は「何人も、不正アクセス行為をしてはならない」と定めます。不正アクセス行為の中心は、他人の識別符号を、管理者や本人の承諾なしに入力してシステムに入る行為です。識別符号とは、その人だけが使うことになっている ID とパスワードなどの符号です。5 条は、他人の識別符号を、その管理者と本人以外に提供する行為を、業務その他正当な理由がある場合を除いて禁じます。8 条は、アクセス管理者(システムを管理する側)に、識別符号の適正な管理などの防御措置に努めるよう求めています。

認証や審査では何を見られるか

ISMS は、情報を守るための方針と手順を組織として決め、運用し、見直す仕組みです。認証基準の JIS Q 27001(ISO/IEC 27001)は、本文の必須の要求事項と、附属書 A の 93 の管理策で構成されます。委託先との関係もその管理策に含まれます。詳しくは ISMS とはに書きました。

プライバシーマークは、JIS Q 15001 に準拠した審査を経て、法人単位で付与される制度です。JIPDEC の構築・運用指針は、個人情報の台帳に「アクセス権を有する者」を書くことと、従業者を監督することを求めています。委託先については、選ぶ基準を決め、契約に安全管理の事項や報告の頻度を盛り込むことを求めています。

取引先から求められる報告書としては SOC 2 もあります。公認会計士がサービス提供会社の内部統制を検証したもので、アクセス権の付与と削除も見られます。内容は SOC 2 とはに、上場会社の内部統制報告で問われる範囲は IT 全般統制(ITGC)とはにまとめています。

公的なガイドラインは何を勧めているか

IPA の中小企業向けガイドラインは、ユーザー ID と管理者 ID の発行・変更・削除の手続を定め、ID を必要最小限にするよう勧めています。共有 ID はなるべく使わず、やむを得ず使う場合は、共有 ID を使った人を特定できる仕組みを整えて運用するよう求めています。異動や退職にともなう権限の変更・削除漏れを防ぐルールと、取引先との契約終了時にアクセス権を回収する手順も挙げています。経営者編の原則 2 は、委託先の不備で事故が起きても委託元の管理責任が問われるとして、委託先の対策まで考慮するよう求めます。

総務省のガイドラインは、対策を管理者・経営者・勤務者の立場ごとに分けています。管理者向けには、ログインで可能な限り多要素認証(パスワードに加えてもう 1 つの方法で本人を確かめること)を強制することを挙げます。異動や担当変更を把握して不要なアカウントを削除すること、ログイン後の認証ログや操作ログ(誰がいつ入り、何をしたかの記録)を取ることも求めています。勤務者向けには、パスワードなどの認証情報を無断で貸さないことを求めています。中小企業向けには、専任の担当者がいない組織を想定した別冊の手引きがあります。

経産省と IPA のサイバーセキュリティ経営ガイドラインは、経営者が認識すべき 3 原則と、担当幹部に指示すべき重要 10 項目で構成されます。指示 9 は、ビジネスパートナーやシステム管理の運用委託先を含めて対策状況を把握させること、契約で役割と責任範囲を明確にすることを求めています。経営者向けの指針なので、アカウントの操作手順までは書かれていません。

共通する 4 つの要求

何から始めるか

最初に、社内で使っているアカウントを一覧にします(棚卸し。何があるかを書き出すことです)。1 つの ID とパスワードを複数の人で使っているものは分けて書きます。一覧がなければ止め漏れに気づけないため、順番はこの通りです。共有アカウントの扱いは共有アカウントの管理に、預かったアカウントの扱いは運用代行のクライアントアカウント管理にまとめています。

次に、退職・異動・契約終了のときに誰が何を止めるかを手順にします。委託先には、契約に安全管理の事項と報告の頻度を入れ、確認の手順を決めます。認証を取るかどうかは、取引先からの要求と費用を見て判断すればよく、法律の義務はその前から当てはまります。