附属書A解説

業務上必要な範囲に限ってアクセスを許可する「最小権限の原則」が基本的な考え方になります。
部署や役職に応じてアクセスできる情報やシステムの範囲をあらかじめ整理し、方針として文書化しておくことで、
個々のアクセス権限の付与・見直しを一貫した基準で行えるようになります。
方針には、パスワードなどの認証情報の管理方法や、アクセス権を定期的に見直す頻度についても盛り込んでおくとよいでしょう。
アクセス制御の方針を検討する際は、部署ごとの業務内容を棚卸しし、
「誰が」「どの情報に」「どのような操作（閲覧・編集・削除など）を」行う必要があるのかを整理すると、実態に即した方針を作りやすくなります。
方針は組織変更のたびに見直します。