レビューは完了し証跡もある。今期のテーマは異動後に積み上がった権限

8システムにまたがる386件の権限すべてが、四半期内に実名の業務承認者によって認証され、レビュー完了率は2期連続で100%となりました。その結果23件の権限を剥奪しましたが、うち21件は誤って付与された権限ではなく、異動後も従業員が保持し続けていた権限です。

統制上の弱点が2点見つかりました。1つは未解決の職務分掌の抵触です。会計アプリケーションで、同一人物が支払指示の作成と承認の双方を行えます。現状の緩和策は、システムによる強制のない手作業の四つの目の慣行のみです。もう1つは、インベスターリレーションズのSharePointサイトで、6名で足りるところ11名の従業員に編集権限が付与されていることです。ロールごとの付与ではなく、広範なグループからの継承が原因です。

四半期末時点のレビュー状況

1件の権限とは、1つのIDが1つのリソースに対して1つの権限レベルで持つアクセスを指します。同一人物による2つの共有への読み取り権限は2件と数えるため、合計はアカウント数の何倍にもなります。

対応が必要な4件

5項目中4項目のサービスレベルを達成

3期間の推移

システム別のレビュー範囲

合計：権限386件、確認353件、縮小10件、剥奪23件。各認証は署名済みの確認書で裏づけられ、サービス記録に保管し閲覧に供します。

職務分掌のテスト

アクセスの例外

すべての例外は付与時点で失効日を伴います。失効日のない例外は、例外ではなく指摘事項として扱います。

四半期をまたいで繰り越される未解決項目

次期のコミットメント

本レポートの作成方法

手法と定義

権限とは 1つのIDが1つのリソースに対して1つの権限レベルで持つアクセスです。グループ経由で得た権限はグループではなく個人に帰属させるため、レビューは名目上の所属ではなく実効アクセス権を問い直します。

認証（Certification）は 実名の業務承認者が — BCS単独では決してなく — 各権限に対して「確認・縮小・剥奪」の判断を記録することを要します。判断の記録がない権限は、確認済みではなく未完了として数えます。

職務分掌の抵触は クライアントと合意した5組の両立しないロールの固定マトリクスに対してテストします。手作業の慣行のみで緩和されている抵触も抵触として報告します。事後に証跡を示せないためです。

対象外。 アカウントの存在とMFAの状態は、月次のシステムアカウント管理レポートで報告します。テナント単位の共有設定はMicrosoft 365セキュリティレポートで報告します。オフィスへの物理的な入退室はマネージドサービスの対象外です。