アクセス制御
物理および論理資産に対する ID とアクセスを管理する。
アクセス制御 は NIST CSF 2.0 のアウトカム PR.AA-01 (Identities and credentials for authorized users, services, and hardware are managed by the organization); PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties) で定義されています。 対応表 ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA および NIS2 において、公開されたクロスウォークを通じてマッピング済み。 編集 SOC 2, GDPR, DORA および Cyber Essentials において編集上マッピング済み。 当サイトのデータにはマッピングがありません 当サイトのデータには Essential Eight および CPS 234 に関するマッピングがありません。
| フレームワーク | 要件 | タイトル | リンク | 出典／理由 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-01PR.AA-05 | Identities and credentials for authorized users, services, and hardware are managed by the organization; Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | トピックの定義 | PR.AA-01 PR.AA-05 |
| ISO 27001 | A.5.15A.5.16A.5.18A.8.3 | Access control; Identity management; Access rights… | 対応表 | A.5.15: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-3 A.5.16: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-2 A.5.18: via PR.AA-01; PR.AA-05; NIST 800-53 map: AC-2 A.8.3: via PR.AA-05; NIST 800-53 map: AC-3 |
| CIS v8.1 | CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5 | Establish and Maintain an Inventory of Accounts; Establish an Access Granting Process; Establish an Access Revoking Process… | 対応表 | CIS 5.1: via PR.AA-01; PR.AA-05 CIS 6.1: Access granting process: the core CIS access-control safeguard; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.2: Access revoking process; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.7: via PR.AA-01 CIS 6.8: via PR.AA-05 CIS 3.3: via PR.AA-05 CIS 5.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): unique passwords for every account. CIS 5.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): disable dormant accounts. CIS 5.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of service accounts. CIS 5.6: via PR.AA-01 CIS 6.6: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): an inventory of authentication and authorisation systems. CIS 12.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): centralised network authentication, authorisation and auditing (AAA). |
| SOC 2 | CC6.1CC6.2CC6.3 | Logical access security over information assets; User registration, authorization and removal; Role-based access, least privilege and segregation of duties | 編集 | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.17.2.27.2.48.2.1 | Access control model defined; Access assigned by job function and least privilege; User accounts and privileges reviewed every six months… | 対応表 | 7.2.1: via PR.AA-05 7.2.2: via PR.AA-05 7.2.4: via PR.AA-05 8.2.1: via PR.AA-01 |
| CMMC | AC.L2-3.1.1AC.L2-3.1.2 | Authorized Access Control; Transaction & Function Control | 対応表 | AC.L2-3.1.1: via 800-171r3 03.01.01 ↔ PR.AA-01, PR.AA-05 → AC-2; 800-171r2 Appendix D → AC-2, AC-3 AC.L2-3.1.2: via 800-171r3 03.01.02 ↔ PR.AA-05 → AC-3; 800-171r2 Appendix D → AC-2, AC-3 |
| 800-53 | AC-2AC-3 | Account Management; Access Enforcement | 対応表 | AC-2: via PR.AA-01; PR.AA-05 AC-3: via PR.AA-05 |
| HIPAA | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d) | Information Access Management; Access Control; Unique User Identification… | 対応表 | §164.308(a)(4): via NIST HIPAA map: AC-2 §164.312(a): via NIST HIPAA map: AC-3 §164.312(a)(2)(i): via NIST HIPAA map: AC-2, AC-3 §164.312(d): Person or entity authentication: verify that whoever seeks access to ePHI is who they claim. It requires authentication, not specifically multi-factor. |
| GDPR | Art.25(2)Art.32(1)(b) | Data protection by design and by default; Security of processing | 編集 | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 11.111.211.5 | Access control policy; Management of access rights; Identification | 対応表 | 11.1: via PR.AA-05; ENISA ISO map: A.5.15, A.8.3 11.2: via PR.AA-05; ENISA ISO map: A.5.18 11.5: via PR.AA-01; PR.AA-05; ENISA ISO map: A.5.16 |
| Essential Eight | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている Essential Eight の要件はありません。 |
| DORA | Art.9(4)(c) | Protection and prevention | 編集 | Art.9(4)(c): Limit physical and logical access to what legitimate, approved functions require, with sound administration of access rights. |
| CPS 234 | — | 要件なし | 当サイトのデータにはマッピングがありません | 当サイトのデータでは、このトピックにマッピングされている CPS 234 の要件はありません。 |
| Cyber Essentials | CE 4 | User Access Control | 編集 | CE 4: Approved accounts only, unique credentials, only the access each role needs, and accounts removed when no longer needed. |
トピックの定義 このトピックを定義するCSF 2.0 のアウトカム · 対応表 公開されたクロスウォークに裏付けられた項目を少なくとも1つ選択 · 編集 ControlMapping の判断（理由付き） · マッピングはされていないが、このトピックのCSFアウトカムを共有しています · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 方法論.
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
マッピングに誤りや欠落がありますか？ 報告する
アクセス制御について
アクセス制御は、最小権限の原則と知る必要性の原則を適用することで、認可されたユーザー、デバイス、プロセスのみが組織のリソースにアクセスできるようにするものです。主な実装要素には、ID のライフサイクル管理、ロールベースのアクセス制御（RBAC）、定期的なアクセスレビューと再認証キャンペーン、自動化されたプロビジョニングおよびデプロビジョニングのワークフローが含まれます。強固なアクセス制御は、横方向移動の機会を制限し、機密性の高いシステムやデータへの不正アクセスを防ぐことで、攻撃対象領域を縮小します。