sidebarIdM実験室いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。セキュリティおよびプライバシー」の日本語版が10月末にリリースされました。いう団体が出しているコントロール・フレームワークで、以下の様に説明されています。DSS、HIPPAなどとの関係性を含めて各種コントロール仕様をまとめたもの、ということです。テナント別の適用有無などかなり詳細にまとまっている資料です。中にもアイデンティティ管理に関連する項目が登場します。適用状況について少しピックアップしてみたので、紹介してみたいと思います。2010/12/17版の様です。きにおいて雇用の終了や変更を行う際の役割や責任に関して、割り当て、文書化、コミュニケーションを行う必要があります。米国本社の人事ポリシーによって行われます。当社がお客様のアカウントを作成することはありません。内にアカウントを作成します。同期することができます。アカウントの正確性については、お客様がその責任を負います。アクセスに関するポリシーと手順を文書化し、承認し、実装する必要があります。要件に準拠している必要があります。あり、正式な確認および更新のプロセスが適用されます。資産に対するアクセス権は、ビジネス要件に基づいて、資産の所有者の承認を得たうえで付与されます。加えて、以下の項目が適用されます。資産に対するアクセス権は、知る必要性のある人間に限定する原則、および最小特権の原則に基づいて付与されます。適用可能であれば、役割ベースのアクセス制御を使用して、個人ではなく、特定の職務または責任領域に対して論理的なアクセス権を割り当てます。物理的および論理的なアクセス制御ポリシーは、規格に準拠します。規格を確認することをお勧めします。アクセス権は制限される必要があります。それらのアクセス権を付与する前に管理者によって承認される必要があります。あり、正式な確認および更新のプロセスが適用されます。資産に対するアクセス権は、ビジネス要件に基づいて、資産の所有者の承認を得たうえで付与されます。加えて、以下の項目が適用されます。資産に対するアクセス権は、知る必要性のある人間に限定する原則、および最小特権の原則に基づいて付与されます。適用可能であれば、役割ベースのアクセス制御を使用して、個人ではなく、特定の職務または責任領域に対して論理的なアクセス権を割り当てます。物理的および論理的なアクセス制御ポリシーは、規格に準拠します。規格を確認することをお勧めします。タイムリーな実行を実装する必要があります。した状況の変化には、雇用、契約、または合意の終了、雇用状態の変更、組織内での異動などが含まれます。管理者、およびアプリケーションやデータの所有者は、誰がアクセスしているかを定期的に確認する責任を負います。オンラインのさまざまな場所で、アクセスをチェックするためのツールを入手できます。適切なアクセスの準備が行われていることを検証するために、定期的にアクセスの確認監査が行われます。規格を確認することをお勧めします。アクセスは、管理者によって計画された間隔で確認され、文書化されます。アクセス違反が見つかった場合は、文書化されているアクセス制御に関するポリシーと手順に従って改善策を実行する必要があります。管理者、およびアプリケーションやデータの所有者は、誰がアクセスしているかを定期的に確認する責任を負います。オンラインのさまざまな場所で、アクセスをチェックするためのツールを入手できます。ユーザーによるアクセスの監査と委任を行うための強化された機能を用意しています。詳細については、対応するサービスの説明を参照してください。規格を確認することをお勧めします。適切な分離を実施、保証するためのポリシー、プロセス、手順を実装する必要があります。興味の制約に関するユーザーの役割の競合が発生する場合は、組織の情報資産の承認されない変更や意図しない変更、または誤使用によって生じるリスクを軽減するための技術的な制御を行う必要があります。サービスの開発スタッフ、運用スタッフが職務分離の原則に従うことを必要とします。サーバー、および運用環境に対するアクセス制御が含まれます。サービスの運用環境に対するアクセスは運用担当者に制限されます。チームには、運用環境内から提供された情報に対してアクセス権が与えられる場合があり、問題のトラブルシューティングに役立てることができます。コードを変更することはできません。マイクロソフトの担当者は、マルチテナント環境の委託が行われる前にサーバーを構築します。サーバーの構築が完了すると、構築チームは自身のアクセス許可を削除します。サーバーを委託した時点から、マイクロソフトの担当者が委託されたサーバー上で実行されるシステムへのアクセス許可を得ることができる方法は限られています。チケットの直接の結果として、またはソフトウェアのインストールや問題解決のためのシステム更新の直接の結果として、アクセス権を入手する場合があります。このような場合、監査ログによって、誰がいつログインしたかが示されます。環境内の機密度の高い機能や重要な機能に対して、職務の分離が実装されています。規格を確認することをお勧めします。実装および実施します。この場合、以下の最低条件を満たす必要があります。パスワードのリセットを行った場合、ユーザーが最初に使用する際にパスワードを即座に変更する必要がある。契約終了となったユーザーのアクセスの無効化をタイムリーに行う。アカウントを削除または無効にする。使用し、グループ、共有、または汎用のアカウントおよびパスワードを禁止する。