アクセス制御ポリシー

正式文書

PDF または正式 URL へのリンク: 英語版「Authoritative document」を参照

所管

項目	値
所管	Takayuki KIKUCHI
最終確認日	2026-04-13

目的

ビジネス目的に従い、情報および情報処理システム、ネットワーク、施設へのアクセスを許可された当事者に限定すること。

適用範囲

Rendering Consulting Inc.（以下「当社」）のデータ管理ポリシーに定義される機密データを処理・保存・送信するすべての当社情報システム。本ポリシーは、当社のすべての従業員、および当社のネットワークおよびシステムリソースにアクセスするすべての外部当事者に適用される。

一般要件

情報処理リソースへのアクセスは、業務上の必要性を有する人員に限定する。アクセス権は、本アクセス制御ポリシーに従って付与または取り消すものとする。

アクセス制御ポリシーのビジネス要件

当社は、「最小権限の原則」に基づき、個々のユーザーに付与するアクセスの種類およびレベルを決定するものとする。この原則は、ユーザーに対して職務遂行に絶対的に必要なレベルのアクセスのみを付与するものであり、当社のビジネスおよびセキュリティ要件によって規定される。明示的に付与されていない権限およびアクセス権は、デフォルトで禁止とする。

当社がアクセス制御およびアクセス権を一貫して割り当て・維持する主要な方法は、ロールベースアクセス制御（RBAC）の実装によるものとする。可能な限り、権限および制限はグループに割り当てるものとする。個々のユーザーアカウントには、システムオーナーまたは権限を有する当事者の承認を得て、必要に応じて追加の権限を付与することができる。

本番インフラストラクチャへのすべての特権アクセスには、多要素認証（MFA）を使用するものとする。

ネットワークおよびネットワークサービスへのアクセス

当社のネットワークおよびネットワークサービスへのアクセスには、以下のセキュリティ基準を適用するものとする。

当社ネットワークへの技術的アクセスは、標準的な役割または承認者、付与者、および日付を含めて正式に文書化しなければならない
署名済みの契約書または作業指示書に基づき業務上の必要性を有する、当社の許可された従業員および第三者のみが、当社の本番ネットワークおよびリソースへのアクセスを付与されるものとする
当社のゲストは、オフィススタッフへの登録後、文書化された申請なしにゲストネットワークへのアクセスを付与される場合がある
本番システムおよびネットワークへのリモート接続は暗号化しなければならない

顧客アクセス管理

Azure サービスプリンシパルまたはマネージド ID を使用してクロステナントアクセスを構成する場合、外部識別子（テナント ID、クライアントシークレット、または証明書など）は、顧客ではなく当社が生成・管理しなければならない。外部識別子は、顧客環境間の不正アクセスを防止するため、すべての顧客間で一意でなければならない。

使用する外部 ID は、すべての顧客間で一意でなければならない。異なる顧客に対して外部 ID を再利用しても、混乱した代理問題（confused deputy problem）は解決されず、顧客 A が顧客 B のサービスプリンシパル資格情報と顧客 B の外部識別子を使用して顧客 B のデータを閲覧できるリスクが生じる。

顧客が外部 ID を設定または影響を与えることができてはならない。外部 ID が編集可能な場合、ある顧客が別の顧客の構成になりすますことが可能となる。

ユーザーアクセス管理

当社は、すべての人員がシステムアクセスのために一意のユーザー識別子を持ち、ユーザー資格情報およびパスワードが複数の人員間で共有されないことを要求する。複数のアクセスレベルを持つユーザー（管理者など）には、可能な限り、通常のシステム使用と管理機能のために別々のアカウントを付与するものとする。ルート、サービス、および管理者アカウントは、事業継続性の目的に限り、パスワード管理システムを使用してパスワードを共有することができる。管理者は、必要な場合にのみ共有管理者アカウントを使用するものとする。パスワードが侵害された、または侵害の疑いがある場合は、直ちに情報セキュリティチームにエスカレーションし、パスワードを変更しなければならない。

ユーザーの登録および登録解除

新規ユーザー ID の作成は、許可された管理者のみが行うことができ、権限を有する当事者からの文書化された要求を受領した場合に限る。ユーザープロビジョニング要求には、データオーナーまたはシステムアクセスを付与する権限を有する当社管理職の承認を含めなければならない。アカウント作成前に、管理者は、当該アカウントが職務分離、不正防止措置、またはアクセス権制限などの当社のセキュリティまたはシステムアクセス制御ポリシーに違反しないことを確認するものとする。

ユーザー ID は、ユーザーが組織を離れた場合または契約業務が終了した場合、SLA に従って速やかに無効化または削除するものとする。ユーザー ID は再利用してはならない。

ユーザーアクセスのプロビジョニング

新規従業員および/または請負業者は、署名済みの雇用契約、知的財産契約、および当社の情報セキュリティポリシーの確認を含むがこれに限定されない、すべての人事オンボーディングタスクが完了するまで、当社の本番システムへのアクセスを付与されないものとする
アクセスは、職務遂行に必要な範囲のみに制限するものとする
公式の従業員開始日より前にアクセスを付与してはならない
アクセス要求および権限変更は、アクセス要求チケットまたはメールに文書化するものとする。システムまたはデータオーナーあるいは管理職の承認なしに権限を付与してはならない
すべての権限および特権変更の記録は、1年以上保持するものとする

特権アクセスの管理

当社は、特権アクセス権の割り当ておよび使用が制限され、慎重に管理されることを確保するものとする。その目的は、許可されたユーザー、ソフトウェアコンポーネント、およびサービスのみに特権アクセス権が付与されることを確保することである。当社は、アクセスおよび特権が以下の基準に適合することを確保する。

ユーザーの識別と検証：各システムおよびプロセスについて、特権アクセスを必要とするユーザーを識別する
特権の割り当て：特定のニーズおよび能力に基づいてアクセス権を付与し、アクセス制御ポリシーを厳格に遵守する
承認プロトコルの維持：すべての特権アクセス割り当ての記録を維持する
強力な認証の適用：すべての特権アクセスに MFA を要求する
汎用管理者 ID の使用禁止：汎用的な管理者ユーザー ID の使用を禁止する
ログおよび監査の確保：すべての特権ログインおよびアクティビティを記録する
期限付きアクセスプロトコルの採用：特定のタスクを達成するために必要な期間のみ特権アクセスを付与し、タスク完了後に取り消す
個別かつ独立した ID の維持：特権アクセス権のための個別の ID を維持し、当該 ID が複数のユーザー間で共有されたり、日常的な非管理業務に使用されたりしないことを確保する

ユーザーアクセスレビュー

管理者は、ユーザー、管理者、およびサービスアカウントのアクセス権レビューを半年ごとに実施し、ユーザーアクセスが職務に必要なシステムに限定されていることを確認するものとする。アクセスレビューは文書化するものとする。

アクセスレビューには、グループメンバーシップおよび特定の例外ベースの権限の評価を含めることができる。アクセス権は、昇進、降格、または社内異動を含む職務変更の際にもレビューするものとする。

アクセス権の削除および調整

すべてのユーザーのアクセス権は、雇用または契約の終了時、あるいは職務または役割の変更によりアクセスが不要となった場合に速やかに削除するものとする。アクセス終了の最大許容期間は、24営業時間とする。

アクセスのプロビジョニング、デプロビジョニング、および変更手順

当社システムのアクセス管理手順は、本ポリシーの付録 A に記載する。

職務分離

相反する職務および責任領域は、当社資産の不正または意図しない変更・誤用の機会を低減するために分離するものとする。アクセスのプロビジョニングにあたっては、単一の人物が承認または検知なしに資産にアクセス・変更・使用できないよう注意するものとする。事象の開始は、その承認から分離するものとする。個人およびグループのアクセスレベルを決定する際には、共謀の可能性を考慮するものとする。

小規模組織における職務分離の取扱い

当社の現状の組織規模では、アクセスの要求、承認、プロビジョニング、および定期レビューの各工程に対して、完全に独立した二次承認者を恒常的に配置することが現実的でない場合がある。この間、「職務分離」の原則の実効性を損なわないよう、以下の補完統制により職務分離の不足を補うものとする。

承認、プロビジョニング、および定期レビューを同一者（代表者）が実施する場合、当該事実をアクセスレコードに明示する。
すべてのアクセス付与、変更、および取り消しは、日時、対象者、対象システム、業務上の理由、承認者を含めてログに記録し、「ユーザーアクセスレビュー」に定める定期レビュー時に、付与内容の妥当性および職務分離上のリスクを確認する。
組織規模の拡大または役割分担の進展に応じて、二次承認者の任命および本取扱いの見直しを検討・実施する。

秘密認証情報の管理に関するユーザーの責任

個々のユーザーパスワードの管理は、当社のすべての人員および第三者ユーザーの責任である。ユーザーは、情報セキュリティポリシーに従って秘密認証情報を保護するものとする。

パスワードポリシー

可能な限り、機密システムのパスワードは、12文字以上、大文字1文字以上、数字1文字以上を含むよう設定するものとする
パスワードは、5回の失敗後にロックアウトするよう設定するものとする
手動によるパスワードリセットの場合、パスワード変更前にユーザーの本人確認を行わなければならない
秘密の質問（出生地など）をパスワードリセットの唯一の要件として使用してはならない

情報アクセスの制限

アプリケーションは、定義されたアクセス制御ポリシーに従い、プログラム機能および情報へのアクセスを許可されたユーザーおよびサポート要員に制限しなければならない。各アプリケーションが適用する制限のレベルおよび種類は、データオーナーが特定した個々のアプリケーション要件に基づくものとする。アプリケーション固有のアクセス制御ポリシーは、アクセス制御およびデータ管理に関する当社のポリシーにも適合しなければならない。

実装前に、必要なアクセス制御およびデータポリシーを決定するため、アプリケーションソフトウェアに評価基準を適用するものとする。評価基準には以下を含むが、これに限定されない。

データの機密性および分類
不正アクセスまたはデータ開示による組織へのリスク
アプリケーションおよびアプリケーション内に保存されたデータに対するユーザーアクセス権の制御能力およびその粒度
機密情報のフィルタリング、出力の制御、および許可された人員への情報アクセスの制限を含むデータ出力の制限
評価対象アプリケーションと他のアプリケーションおよびシステム間のアクセス権に対する制御
アプリケーション機能および特権命令に対するユーザーアクセスのプログラム的制限
システム機能および情報アクセスのログおよび監査機能
データ保持およびエージング機能

すべての不要なデフォルトアカウントは、システムをネットワーク上で利用可能にする前に削除または無効化しなければならない。特に、ベンダーのデフォルトパスワードおよび資格情報は、展開前にすべての当社システム、デバイス、およびインフラストラクチャで変更しなければならない。これは、オペレーティングシステム、セキュリティサービスを提供するソフトウェア、アプリケーションおよびシステムアカウント、ならびに可能な限り Simple Network Management Protocol（SNMP）コミュニティ文字列で使用されるものを含むがこれに限定されない、すべてのデフォルトパスワードに適用される。

セキュアなログオン手順

セキュアなログオン制御は、データの機密性およびセキュリティとアクセス制御アーキテクチャ全体に基づく不正アクセスのリスクに従って設計・選択するものとする。

パスワード管理システム

パスワード管理システムは、対話型であり、可能な限り最小文字数およびパスワードの複雑性を含むパスワード強度基準を適用することにより、当社の人員がパスワード基準を維持することを支援するものとする。

パスワードのすべての保存および送信は、ハッシュ化または暗号化により、適切な暗号保護を使用して保護するものとする。

特権ユーティリティプログラムの使用

システムおよびアプリケーションの制御を無効にしたり、システム構成を変更したりする可能性のあるユーティリティプログラム、システムファイル、またはその他のソフトウェアの使用は、必要最小限の人員に制限しなければならない。システムは、システムユーティリティのすべての使用またはシステム構成の変更のログを維持するものとする。不要なシステムユーティリティまたはその他の特権プログラムは、システムの構築および構成プロセスの一環として削除または無効化するものとする。

アドホックまたは第三者のシステムユーティリティのインストールまたは使用には、管理職の事前承認が必要である。

プログラムソースコードへのアクセス

プログラムソースコードおよび関連する項目（設計書、仕様書、検証計画、バリデーション計画を含む）へのアクセスは、ソフトウェアへの不正な機能の導入を防止し、意図しない変更を回避し、当社の知的財産を保護するために、厳格に管理するものとする。

ソースコードへのすべてのアクセスは、業務上の必要性に基づくものとし、レビューおよび監査のためにログを記録しなければならない。

例外

本ポリシーに対する例外の申請は、承認を得るために CEO またはその指名者に提出しなければならない。

違反と執行

本ポリシーに対する既知の違反は、CEO またはその指名者に報告するものとする。本ポリシーへの違反は、会社の手続きに従い、システムおよびネットワーク権限の即時停止・剥奪、ならびに雇用の終了を含む懲戒処分の対象となる場合がある。

付録 A — アクセス管理手順

概要

本手順は、セキュリティおよびコンプライアンス基準を維持しつつ、必要なアクセス権を確保するための、会社のシステムおよびリソースへのアクセス管理プロセスを定める。
開始および標準アクセスのプロビジョニング

オンボーディングの完了：CEO がオンボーディングプロセスを開始し、アクセスプロビジョニングのためのサービスレコードを作成する。アクセスのプロビジョニング：CEO が、メール、開発環境、およびコラボレーションツールを含むすべての全社システムへのアクセスをプロビジョニングする。
追加アクセスの要求

アクセス要求：従業員または管理者が、必要な詳細および正当な理由を含めて、追加アクセスの要求を CEO に提出する。承認プロセス：要求は CEO またはシステムオーナーによってレビューおよび承認される。
承認済みアクセスのプロビジョニングおよび通知

プロビジョニング：CEO が承認済みアクセスをプロビジョニングし、アクセスレコードを更新する。通知：CEO が、条件または制限を含めて、付与されたアクセスについて従業員に通知する。
アクセスレビューおよび取り消し

定期レビュー：CEO がアクセスの必要性および適切性を確保するために定期的なレビューを実施する。取り消し：従業員の役割変更または退職時に、CEO がアクセスを取り消し、アクセスレコードを更新する。

付録 B — アクセスマトリクス

役割	Google Workspace	Pipedrive (CRM)	Azure	GitHub	freee (会計)
CEO	x	x	x	x	x
Sales	x	x
Engineer	x		x	x