SCS評価制度の要求事項4-1-7「アクセス権の管理ルール」とは：申請・承認制、必要な範囲への限定、棚卸し、台帳

4-1-7は何を求めているか：評価基準6項目の中身

要求事項4-1-7の原文は、「アクセス権の管理ルールを定めること。」の1文です。何をすれば満たしたことになるかは、6つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3の段階から求められるのは1項目で、★4で5項目が加わります。★3の1項目は、4つの内容をまとめて定める形になっています。内容を要約すると次のとおりです。

大分類「攻撃等の防御」の中分類「アイデンティティ管理、認証、アクセス制御」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

最初にやること

1. 業務システムと、鍵のかかる部屋を洗い出す
2. 権限の申請書（申請者、承認者、範囲）を1枚決める
3. 今の権限を台帳に書き出す

この項目で用意するもの（★3）

4-1-7で用意するものは、ルールの文書と台帳の2つです。

• 文書：アクセス権の管理ルール。申請・承認制、必要な範囲への限定、棚卸しのやり方の3つを書く（4-1-7-1（管理ルール））
• 台帳：アクセス権と入室許可の申請書、または台帳。誰に、どのシステム・部屋への権限を、いつ与えたかを残す（4-1-7-1）

ユーザIDの発行・削除そのものは、別の要求事項4-1-1（ユーザIDの管理手続）です。4-1-7は、IDに与える権限の範囲と、その管理の仕方を決める項目です（編集部の整理）。詳しくは 4-1-1の記事 にあります。

落とし穴1：棚卸しを「定める」のは★3、「実施する」のは★4

4-1-7-1（管理ルール）が★3で求めているのは、入室権限とアクセス権の棚卸しについて「定めていること」です。年1回以上の棚卸しを「実施すること」は、4-1-7-2（棚卸しの実施）で、★4から求められます。

★3だけを目指す場合も、棚卸しのやり方は文書に書きます。いつ、誰が、何を見るかを決めておけば、★4に進むときに実施の記録を足すだけで済みます（編集部の整理）。

落とし穴2：対象は、システムだけでなく部屋も含む

4-1-7-1は、システムとパソコンへのログオンに加えて、「機密上の配慮が必要な場所及び部屋への入室」も対象にしています。

サーバ室や書類の保管庫など、鍵やカードで入る場所があるなら、入室許可も同じ台帳に書きます。申請・承認制、必要な範囲への限定、棚卸しの考え方は、システムのアクセス権と同じです。

落とし穴3：「必要な範囲に限定」は、設計の段階で崩れる

4-1-7-1（管理ルール）は、与える権限の範囲を必要な範囲に限ることを求めています。個人への付与だけでなく、システムの作りそのものが範囲を決めます。

関西電力送配電 では、電力自由化に伴うシステム改修での設計の見落としにより、新電力の顧客情報を、関西電力の社員などが閲覧できる状態になっていました。契約名義、電話番号、使用量などが閲覧されています。

同じ業務なら、グループ会社や委託先の人が、どのデータを見られる設定になっているかを確かめます。台帳には、人ごとの権限だけでなく、見せてはいけないデータの区分も書いておくと、設計や改修のときに見落としにくくなります（編集部の整理）。

進め方（30人規模の記入例）

編集部の記入例です。システム名と部屋は、自社のものに置き換えます。

1. 対象を洗い出す。業務システム、ファイルサーバ、クラウドサービス、サーバ室、書類の保管庫
2. 権限の申請書を決める。申請者、承認者、権限の範囲、期間を書く
3. 台帳を1枚作り、今の権限を書き出す
4. 棚卸しのやり方を決める。毎年4月に、台帳と実際の設定を見比べる

★4で加わること

• 4-1-7-2（棚卸しの実施）：年1回以上、役員、従業員、派遣社員、受入出向者に付与したアクセス権の棚卸しを実施する
• 4-1-7-3（付与の条件）、4-1-7-4（システム管理者の要件）：重要な機密情報を扱うシステムは、付与の条件と、システム管理者の要件・設定手順を定める
• 4-1-7-5（必要最小限の権限）：ユーザと管理者ごとに必要最小限の権限を付与し、個人に権限が集中しない環境にする
• 4-1-7-6（利用状況の監視）：付与したアクセス権の運用・利用状況を監視する仕組みを整える

権限が集中した人の持ち出しは、実際の事故にもなっています。 NTT西日本グループ では、NTTビジネスソリューションズの元派遣社員が、業務で扱う顧客情報を不正に持ち出して流出させました。

公表されている再発防止策には、特権アカウント（システムの設定を変えられる強い権限）を持つ長期配置者の異動と権限の削除、普段と違う操作を見つける検知による監視、委託先への立入点検が含まれます。

自社なら、システム管理者の操作を、誰がどう見ているかを確かめます。