アクセス制御・管理

職務や役割によって最小限の権限を付与する

部門ごとでのアクセス制御の例では、開発中の製品のデータが格納されているファイルへのアクセス権限を開発部門には付与して、営業部門には付与しないということも考えられます。あるいは、編集・削除・閲覧権限を開発部門には付与するが、営業部門には、閲覧の権限のみを付与するといった権限の付与の仕方もあると思います。

アクセス権の確認

人事異動や、退職、新入社員の受け入れ等で、組織の人員構成に変更があった際には都度アクセス権設定の見直しを実施し、本来はアクセスすべきでない人が特定の情報にアクセスできることがないようにすることが重要です。
また、定期的にアクセス権の棚卸を実施し、一時的に利用したテストユーザや、一時的に特定のユーザに付与した権限が残っていないか、退職したユーザが有効になっていないか等の見直しを行うことも重要です。