① 「アクセス権統制に於ける基礎的な制約条件」
ａ. 「ユーザＩＤによる管理に於ける、基礎的な制約条件」
１．母集団データの取得 （ユーザマスタ変更履歴）
・ ユーザマスタ変更履歴は、
①システムから出力されたユーザマスタの変更履歴ログが取得可能。
②最終更新日、権限内容の分かるユーザID一覧＋手作成のユーザマスタの変更履歴の取得可能。
①または②のいずれかが取得可能。
２．母集団データの取得 （人事情報）
・ 人事情報に対しては、
退職日の分かる退職者一覧リストが入手可能である。
（人事発令、組織改訂の社内通達等、入力原票となるもの）
ｂ. 「端末ＩＤ、共有ＩＤ、ＩＤ無しに於ける、基礎的な制約条件」 ：
１．母集団データの種別 （端末マスタ変更履歴）
・ 端末マスタ変更履歴は、
①システムから出力された端末マスタの変更履歴ログが取得可能。
②手作成の端末マスタの変更履歴、③最終更新日、権限内容の分かる端末ID一覧の取得可能。
①または②のいずれかが取得可能。
② 「標準的な統制」 ： アクセス権に於ける標準的な統制
ａ. 「ユーザＩＤによる管理に於ける、アクセス権の標準的な統制」
１．ユーザIDの存在と個人割当て
・ アプリケーションへのログイン時には、個人別に割り当てられたユーザIDが要求される。
IDは共有されていない。
２．パスワードなど本人確認の仕組みの存在
・ アプリケーションへのログイン時には、パスワードが要求される。
３．パスワード守秘のための仕組みの存在
・ 最少桁数の設定、禁止文字列、定期的な変更など、
パスワードを守秘するためのシステム的な仕組み、または人手による守秘の手続が存在する。
４．権限付与状況の把握
・ 誰にどのような権限を与えているかを把握できる。
５．ユーザID改廃手続（追加の場合）
・ ユーザIDの付与に対しては、然るべき承認を含んだ所定の手続が存在する。
（自動化されている場合、仕組みが把握されている）
６．権限内容の変更管理（異動の場合）
・ 異動による付与権限の変更に対しては、然るべき承認を含んだ所定の手続が存在する。
７．ユーザID改廃手続（削除の場合）
・ ユーザIDの削除に対しては、然るべき承認を含んだ所定の手続が存在する。
（自動化されている場合、仕組みが把握されている）
８．棚卸（ユーザIDおよび権限）
・ 定期的にユーザIDと権限内容の見直しが行われ、不要なIDや権限は適時に削除されている。
９．高権限ユーザの制限
・ アプリケーションレベルのオールマイティ権限、
およびユーザ登録が可能な権限の保有者は、職務上必要な者のみに制限されている。
ｂ. 「端末ＩＤ、共有ＩＤ、ＩＤ無しに於ける、アクセス権の標準的な統制」
１．利用者個人の特定
・ 利用者名の分かる端末管理台帳などの管理資料が存在し、
当アプリケーションの利用者が誰であるかが管理されている。
２．端末IDとパスワードによるログイン制限
・ アプリケーションへのログイン時には端末ID（共有ID）とパスワードの入力が要求される。
または、画面に対するパスワード保護が存在する。
３．クライアント側ソフトウエアによる制限
・ クライアントソフト、端末エミュレータなどのPC側へ導入されたソフトウエアの有無によって、
アプリケーションへアクセスできる端末が限定される。
４．ネットワークのユーザIDによるアクセス制限
・ 個人単位に割り当てられた社内ネットワークのユーザIDが存在し、
ネットワークへのログインを経なければ、アプリケーションへアクセスできない。
５．入退室管理による制限
・ アプリケーションにアクセスできる端末が設置された場所には、
入退室管理が存在し、物理的に誰でもアクセスできる状態ではない。
６．パスワード守秘の仕組み
・ 最少桁数、禁止文字列、定期的な変更などのパスワードを守秘するための
システム的・人手による仕組みが存在する。
７．権限付与状況の把握
・ どの端末（共有ID）にどのような権限を与えているかを把握できる。
８．端末ID改廃手続
・ 端末ID（共有ID）の付与、変更、削除に対しては、
然るべき承認を含んだ所定の手続が存在する。
９．棚卸（端末IDおよび権限）
・ 定期的に端末ID（共有ID）と権限内容の見直しが行われ、不要なIDや権限は適時に削除されている。
10．高権限端末の制限
・ アプリケーションレベルのオールマイティ権限、および端末マスタの更新権限を
付与された端末の設置場所は限定されており、利用者は職務上必要な者のみに限定されている。
11．アクセスログのレビュー
・ 端末ID（共有ID）の分かるアクセスログが取られ、定期的にレビューされている。
③ 「アプリケーションアクセス権に於けるリスク」 ： 統制が効かない場合に於いて以下のリスクがある
ａ. 「ユーザＩＤによる管理に於ける、アプリケーションアクセス権に於けるリスク」
１．ログイン
・ 誰でもログインできる（職務遂行上必要のない人でも）
・ ユーザの身元を特定できない
２．本人確認
・ 他人のユーザIDを使用できる
・ 他人のパスワードを盗める
３．利用権限管理
・ 過大（不要）または矛盾した権限が付与される
・ 職務権限以上の不正な操作ができる
ｂ. 「端末ＩＤ、共有ＩＤ、ＩＤ無しに於ける、アプリケーションアクセス権に於けるリスク」
１．ログイン
・ 誰でもログインできる
・ ユーザの身元を特定できない
２．利用権限管理
・ 過大（不要）または矛盾した権限が付与される
・ 職務権限以上の不正な操作ができる