認証・認可は、利用者が誰であるかを確かめる仕組みが認証、その利用者に許された操作やデータの範囲を制御する仕組みが認可です。ログインできるだけでは不十分で、一般利用者、管理者、所属部署などに応じて、閲覧、登録、変更、削除の可否を決める必要があります。発注者は「誰が、どの情報に、何をできるか」を表にして確認すると、認識違いを減らせます。パスワードを忘れた場合の対応、一定回数失敗した際の停止、退職者の無効化、操作記録の保存も検討してください。重要な情報を扱う場合は、パスワードに加えて確認コードなどを使う多要素認証も候補になります。利用者区分の数、社内アカウントとの連携、複雑な承認ルールによって開発費とテスト量が変わるため、見積もり前に具体化することが重要です。