権限管理. アクセス制御 ・歴年で保有するデータベースやファイルが、将来、調達において指定した量から増加した場合でも、プログラムやファイル等を改修することなく対応できるようにすること。 ・業務アプリケーションの構成は、データ管理部分、業務ロジック、ユーザーインタ フェースを分離・分割し、相互の独立性を高めることにより、機能追加や保守作業に対する影響範囲を局所化でき、システムの改変に対する柔軟性が確保できるように配慮すること。 ・事業継続に関わるリスクに対しては、1年に一度システムのバックアップ媒体を作成する。また、データに関しては各端末のデータを最新に維持することで、これをバックアップデータと定義し、これらのバックアップを用い、復旧できること。 ・管理端末は事業継続性を考慮してUPSやRAIDによる対策を実施すこと。 ・サービス時間帯として原則、執務時間帯（原則8：30～17：15）を保障すること。 ・臨機に、システムの起動や強制終了、ジョブスケジュールの変更など、柔軟なサービス提供に対応できること。 ・システムの終了においてシステム利用中の場合は、データの不整合が発生しない形式でのサービス停止が行えること。 ・年に一回、全ファイルのバックアップデータをDVD等で保管し、必要に応じてファイル 単位でのデータリストアを可能とする仕組みを設けること。 ・業務データについて、バックアップ機能を有すること。 ・処理件数、データ量等を勘案した、適切なバックアップ方式を採用していること。 ・保守機器があることを前提に、不具合発生時に早急な修正対象の特定と修正計画が可能な仕組みを用意すること。 ・ソフトウェアのバージョン管理を適切に行える仕組みを提供すること。 ・ソフトウェア構造を明確にし、仕様変更時や障害対応時の妥当性検証を省力化するための工夫をすること。 ・セキュリティホールが発見された場合の設定の変更やセキュリティアップデートの適用等の対策、その実施に先立つ調査・検証を適宜行うことを想定した仕組み又は手順を提供すること。 ・システム上のデータを取扱える権限を持った利用者を認証できること。 ・当該ログイン手段について、長さ又は複雑さの要件を満たさないパスワードの設定を制限する機能、及び連続したログインの失敗があった際にアカウントを一時的に無効化する機能を備えること。また、これらの他に不正なログインの試行に対抗する機能として必要と考える機能があれば備えること。 ・システムにアクセスするシステム利用者、システム管理者、システム運用要員及びシス テム保守要員が用いるアカウントの管理（登録、更新、停止、削除等）を行うための機能を有すること。 ・システムにおけるそれぞれの職務・役割（システム利用者、システム管理者、システム 運用要員及びシステム保守要員）に応じて、利用可能なシステムの機能、アクセス可能なデータ、実施できるデータの操作等を制限する機能を有すること。 ・権限にあわせて画面やメニューの表示が制御されること。 ・データに対して、参照を許可し更新を許可していない場合は、入力不可やメッセージの通知等により、適切に入力を制御する機能を有していること。
権限管理. 6.7.1. 構成要素（共通） ・ 主体の識別コード及び主体認証情報が、第三者等によって窃取された際の被害を最小化するため、以下の措置を講ずること
(1) 業務上必要な場合の限定付与
(2) 必要最小限の権限付与
(3) 管理者権限更新のための専用端末の整備 ・ 管理者権限の特権を持つ主体の識別コード及び主体認証情報が、悪意ある第三者等によって窃取された際の被害を最小化するための措置及び、内部からの不正操作や誤操作を防止するための措置を講ずること
6.7.2. サーバ （データベース） ・ データベースに対する内部不正を防止するため、データベースの管理に関する権限の不適切な付与を検知できるよう、措置を講ずること