特権アクセス管理

管理者権限など強い権限をもつアカウントを厳格に管理すること。利用者を限定し、申請・承認のうえ一時的にだけ付与し、操作ログを取得して事後に点検する。

システム管理者権限など、高い権限を持つアカウント（特権ID）の管理。特権IDの発行・承認、使用記録の監視、定期的な棚卸、不要な特権IDの無効化などの統制が含まれる。

システムの設定変更、利用者の管理、全データへのアクセスなど、通常の利用者を超える強い操作を可能にする管理者権限などのアクセス権。悪用や乗っ取りの被害が大きいため、付与を必要最小限の者と期間に限り、通常業務用とは別のIDを使わせ、利用状況のログを取得して点検する。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

ユーザーやシステムの身元を確認するプロセス。知識情報（パスワード）、所持情報（ICカード、トークン）、生体情報（指紋、虹彩）の3要素（認証の3要素）があり、複数を組み合わせた多要素認証により安全性を高める。

知識（パスワード等）、所有（ICカード、スマートフォン等）、生体（指紋、虹彩等）の3つの認証要素のうち、2つ以上を組み合わせて認証を行う方式。単一要素の認証に比べてセキュリティが大幅に向上し、パスワード漏洩だけでは不正アクセスされない。

利用者やプログラムに対して、業務遂行に必要な最小限の権限のみを付与するセキュリティの原則。過剰な権限付与によるリスク（不正利用、操作ミスによる被害拡大）を防止する。need-to-know（知る必要性）の原則とも関連する。

システムの構成や設定の変更を計画的かつ安全に実施するためのプロセス。変更要求の記録・分類、影響評価、承認、実施、レビューの手順を含む。不正な変更や設定ミスによるセキュリティリスクを低減し、変更の追跡可能性（トレーサビリティ）を確保する。

システムを構成するハードウェア、ソフトウェア、ネットワーク機器などの構成品目（CI）を識別・記録し、その状態を管理するプロセス。CMDB（構成管理データベース）に正確な構成情報を維持することで、脆弱性の影響範囲特定やインシデント対応を迅速に行える。