本番特権アクセス管理表

これは何か

本番特権アクセス管理表は、本番のシステムの設定やデータを直接変えられる強い権限（特権）について、誰が持てるか、いつ・何のために使ったか、使った後に誰が確かめたかを管理する成果物です。

「特権」とは、普段の業務の権限では許されない、システム全体に影響する操作ができる権限のことです。考え方は 08-05 開発者は本番データを自由に見てよいのか で学びます。

なぜ作るか

• 特権を持てる人を、決まった少数に限る
• 特権を使うたびに、目的・期間・承認を残す
• 使った後に、使った本人以外の人が操作を確かめる
• 期限が過ぎた特権が残っていないかを確かめる

誰が使うか・いつ作るか

• 管理する人：セキュリティの担当、運用の担当
• 使う人：特権を申請する人、承認する人、使った記録を確かめる人、監査の担当
• 一般的には、本番の環境ができる前に作り、申請・使用のたびに記録します。緊急時の手順もあわせて決めます
• アステリア案件で、誰が特権を持ち、誰が承認するかは、正本に記載がありません。未確定

上の人物や会社が、特権を承認する・持つという記載は、正本にありません。未確定

主な項目

一般的には、次の2つの表で構成します。

特権を持てる人の一覧

• 特権の種類（どのシステムの、どんな操作か）
• 持てる人（役割と名前）と、持つ理由
• 承認した人と日付、見直しの予定

使用の記録（1回の使用ごとに1行）

• 申請番号、使った人
• 目的（どの作業・どの障害のためか）
• 使ってよい期間
• 承認した人
• 行った操作の記録（操作の記録への参照、08-04）
• 使った後に確かめた人と結果

読み方

1. 特権を持てる人が、少数に限られているか
2. 使用のたびに、目的・期間・承認があるか
3. 緊急時に事後で承認したものが、きちんと事後に承認されているか
4. 使った後の確認が、使った本人以外の人によって行われているか
5. 「確認待ち」が長く残っていないか

書き方

1. 本番の特権の種類を洗い出す
2. 種類ごとに、持てる人と理由を決め、承認を得る
3. 申請・承認・使用・確認の手順と、緊急時の手順を決める
4. 使用のたびに記録し、使った後に確かめる
5. 定期的に、持てる人の一覧と、期限の過ぎた特権を見直す

何を書いてはいけないか

• 共有のアカウントでの使用（誰が使ったか分からない）
• 目的が「作業のため」だけの記録
• 使った後の確認を、使った本人が行うこと

よくある失敗

• 最初に多くの人に特権を与え、あとで絞れなくなる
• 緊急時の手順がなく、急ぎを理由に手続きを飛ばす
• 記録をとっているが、誰も確かめない

関係するUnit・成果物・危機演習

• Unit：08-05 開発者は本番データを自由に見てよいのか、08-02 必要最小限の権限とは何か、08-04 誰が何をしたか残す
• 成果物：SEC-002 権限設計表、SEC-004 監査ログ要件一覧、SEC-001 セキュリティ基本方針、AI-002 AIエージェント権限表
• 危機演習：この成果物を直接の題材にする危機演習はありません

いつ使うか

この教材では STAGE 08｜誰に何を許可するのか の文脈で扱います。 アステリア案件での正式な作成・使用時期（月）は正本に記載がないため、未確定としています。