職務分掌(SoD).

重要な業務を複数の人や系統に分割し、一人(一系統)だけでは完結できないようにする統制の原則。 サイバーセキュリティの コンプライアンスとフレームワーク カテゴリに属します。

重要な業務を複数の人や系統に分割し、一人(一系統)だけでは完結できないようにする統制の原則。

職務分掌は、重要業務に必ず 2 人以上の独立した担当者を関与させることで、不正・誤り・悪用を防ぎます。典型例は、コードを書く開発者とリリース担当、支払いの申請者と承認者、特権アクセス申請者と JIT 昇格を承認するセキュリティ担当などです。SOX、PCI DSS、ISO/IEC 27001、NIST SP 800-53(AC-5)で要求されます。実装には RBAC/ABAC、承認ワークフロー、コードレビュー、多者承認、暗号操作の二者制御を用います。小規模チームで完全な SoD が難しい場合、監査ログ、監視、定期レビューなどの補完統制で代替します。

職務分掌(SoD) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: SoD, 職務の分離。