アクセス制御ポリシー(Identity and Access Management – IAM)
第 I 部 – 目的、範囲および法的根拠
条 1. 目的
1.1. 本方針は、HiTechCloud のすべてのシステム、サービス、および データに対する ID 管理およびアクセス制御の原則および措置を規定し、正しく認証および委任された対象者のみが自らの役割および業務上の必要性に適切なリソースにアクセスできることを保証します。
条 2. 適用範囲
2.1. 適用対象：HiTechCloudの人事（正社員、試用期間、インターンシップ、契約社員）；サービスアカウントおよびシステムアカウント（service account）；管理ポータル（ポート）上の顧客アカウントおよびサブアカウント；インフラ、アプリケーション、データベース、ソースコード、Cloudシステム、社内ツールへのアクセス権。
条 3. 法的根拠および基準
- サイバーセキュリティ法2025年（法律第116/2025/QH15号）およびその施行令ならびに政令85/2016/ND-CP（分類レベルに応じた情報システムセキュリティ保障に関するもの）。
- 個人データ保護法 2025 (法律第 91/2025/QH15 号) および政令 356/2025/NĐ-CP (大規模データまたはセンシティブデータ処理に対する強力な認証 — 最低限多要素認証が必須 — およびアクセス権限設定を要求);
- 2015 年刑法 (2017 年改正・補足)；
- 参考基準：ISO/IEC 27001:2022（A.5.15–A.5.18、A.8.2–A.8.5）；NIST SP 800-63（Digital Identity）；Zero Trust 原則（NIST SP 800-207）。
本ポリシーは、情報セキュリティマネジメントシステム（ISMS）セキュリティポリシーにおけるアクセス制御の要件を補完し、具体化するものです。
第II部 – アクセス制御の原則
条4 基本原則
4.1. HiTechCloud の適用: (a) Least Privilege — 業務遂行に必要な最小限の権限を付与してください。(b) Need-to-know — タスクに必要なデータのみにアクセスする；(c) Separation of Duties — 利益相反および権限濫用を防ぐための職務分離；（d） Zero Trust — デフォルトで信頼せず、ID、デバイス、コンテキストに基づいて継続的に検証; (e) Deny by default — デフォルトで拒否し、明示的なアクセス許可がある場合のみ許可します。
条5. 権限設定モデル
5.1. HiTechCloudは、機密性の高いケースに対してRBAC（Role-Based Access Control）とABAC（Attribute-Based）を組み合わせたモデルを適用しています。アクセス権限は個人ではなくロール（role）に基づいて割り当てられ、各ロールには職務機能に応じた最小限の権限セットが割り当てられます。
5.2. データへのアクセス権はISMSにおけるデータ分類（PUBLIC / INTERNAL / CONFIDENTIAL / RESTRICTED）に従って階層化され、RESTRICTEDデータ（機微な個人データ、支払いデータ、秘密鍵）は個別に承認されたロールにのみ付与されます。
第III部 – 認証およびID管理
条6 多要素認証 (MFA)
6.1. MFA 必須 対象：管理アカウント（admin/root）、リモートアクセス（VPN、SSH、RDP）、RESTRICTEDデータを処理するシステムへのアクセス、Cloud管理ポータルおよびCI/CDツール。
6.2. 詐欺防止（phishing-resistant）認証要素（FIDO2/WebAuthn、ハードウェア security key）を優先し、特権アカウントに対する SMS 経由の OTP は段階的に制限します。ビッグデータ／機密データの処理には、政令 356/2025/NĐ-CP に基づき、少なくとも多要素認証による強力な認証を適用します。
条 7. パスワードポリシー
7.1. 最低要件：一般ユーザーアカウントの場合は 12 文字以上、特権アカウントの場合は 16 文字以上。パスフレーズの使用を推奨します。流出したパスワードリストとの照合を実施し、一般的なパスワードをブロックします。
7.2. パスワードはハッシュ (bcrypt/Argon2/scrypt) でランダムソルトを使用して保存されます。定期的なパスワード変更は形式的に強要されません。露出またはリークの兆候がある場合のみ変更を強制します (NIST SP 800-63B の推奨に従う)。
7.3. パスワードの共有は禁止されています。システムシークレット（API key、token、証明書）は、secret manager で管理され、ソースコードまたはドキュメントに保存されていません。
条 8. 特権アクセス管理（PAM）
8.1. 特権アカウントは PAM システムで管理されます。(a) アクセスは Bastion Host/Jump Server 経由で行われ、直接接続は行われません、(b) 権限は Just-in-Time および Just-Enough-Access ベースで付与され、セッション終了時に自動的に取り消されます、(c) セッションは完全に記録され、最低12か月間保持されます、(d) 特権秘密およびパスワードはスケジュール上で定期的に、必要に応じて各使用後に回転されます。
条 9. サービスおよび非人間アカウント (Non-human/Service Account)
9.1. サービスアカウントは個別に識別され、最小限の権限が付与され、対話的ログインに使用されず、認証情報は定期的に更新され一元管理され、異常なアクティビティが監視されています。
第IV部 – アクセスライフサイクルとレビュー
条 10. アクセス ライフサイクル（Joiner–Mover–Leaver）
10.1. Joiner (新規採用): 最初の営業日前にロールベースの権限が承認・付与され、本番システムアクセス前に情報セキュリティ研修が完了します。
10.2. Mover（位置変更）: 人事が部門/役割を移動する際に権限をレビューおよび調整し、不要になった古い権限を取り消す(privilege creepの回避)。
10.3. Leaver（退職／契約終了）： アカウント を無効化し、すべてのアクセス権を取り消す 即日 終了（高リスクの場合：即時無効化）；機器、token、証明書の回収；業務データの引き継ぎ。
条 11. 定期的なアクセス レビュー
11.1. アクセス権レビュー：通常システム – 6か月に1回；特権アカウントおよびRESTRICTEDデータ処理システム – 3か月に1回。システムオーナー（system owner）が権限の妥当性を再確認し、不要になった権限は取り消されます。
11.2. 審査結果は記録され、情報セキュリティ委員会(ISC)に報告されます。
第12条。顧客のアクセス制御
12.1. HiTechCloudは顧客にアカウントアクセス管理ツールを提供します：制限された権限を持つ副アカウント作成、MFA有効化、ログイン記録の表示。顧客はサービス利用契約条4に従い、副アカウント権限およびエンドユーザー権限の管理に責任があります。
12.2. HiTechCloudの人事は、サービス提供または技術サポートに必要な場合に限り、最小特権の原則に従い、ログを記録した上で、PDPDおよび技術サポート条項のコンプライアンスを遵守して顧客の環境／データにアクセスします（Email／チャット経由でパスワードを要求することはなく、一時的な権限付与を優先します）。
PART V – 監視、違反処理および効力
条13. アクセス監視とログ記録
13.1. 重要なシステムおよびCONFIDENTIAL/RESTRICTEDデータへのすべてのアクセスは、集中的に（SIEM）ログされ、整合性が保護され、最低12ヶ月間保持されます。
13.2. 異常な動作 (位置または時間に関して異常なログイン、権限昇格、一括アクセス) に関するアラートを発行し、重大なアラートはインシデント対応 (IR) プロセスにエスカレートされます。
第14条 違反の処理
14.1. IAM ポリシーの違反 (アカウント共有、権限の不正利用、意図的な不正アクセス) は、情報セキュリティポリシーおよび内部規則に従い処理されます。犯罪行為の徴候を示す行為 (不正アクセス、データ横領) は、2015 年刑法 (2017 年改正補正) 第 285 ~ 294 条に基づき起訴される可能性があります。
第 15 条 効力
15.1. 本ポリシーは01/07/2026より効力を生じ、最低12か月に1回見直されます。ベトナム語版が最高の法的効力を有します。
