ポータルTOP ＞ 情報セキュリティマネジメント試験 科目A キーワード集 ＞ アクセス制御
概要
アクセス制御とは、情報資産に対し「誰が」「何に」「どのような操作を」できるかを制限・管理する仕組みです。許可された人だけが必要な情報にアクセスできるようにし、不正アクセスや情報漏えいを防ぎます。
アクセス制御は「認証（本人確認）→ 認可（権限付与）→ 監査（記録・確認）」の3要素で構成されます。最小権限の原則を実現する具体的な手段でもあります。
詳細（3要素・制御方式）
アクセス制御の代表的な方式
- 1DAC：所有者が任意に権限を与える
- 2MAC：組織のルールで強制的に制御
- 3RBAC：役割(ロール)に権限を紐付け
- 4ABAC：複数の属性を組み合わせ判断
アクセス制御の3要素
| 要素 | 内容 |
|---|
| 認証（Authentication） | 「誰か」を確認する（パスワード・多要素認証等）。 |
| 認可（Authorization） | 確認した相手に「何ができるか」の権限を与える。 |
| 監査（Audit／Accounting） | アクセスの記録（ログ）を取り、後から確認できるようにする。 |
主な制御方式
- RBAC（役割ベースアクセス制御）：役割（職務）に応じて権限を割り当てる。管理が効率的。
- 任意アクセス制御（DAC）／強制アクセス制御（MAC）など。
アクセス制御のキーワードは「
認証・認可・監査の3要素」と「
RBAC（役割ベース）」。
認証（誰か）と認可（何ができるか）の違いが頻出。
最小権限を実現する手段です。
RBACと運用
- RBACは、個人ごとではなく「役割（部署・職位）」に権限を紐づけるため、異動・退職時の権限変更が容易。
- 最小権限の原則に基づき、役割に必要な権限のみ付与する。
- 定期的にアクセス権を棚卸しし、不要な権限を削除する。
関連例
アクセス権の設定不備により、本来見られないはずの機密情報を多くの社員が閲覧できる状態になっていた、という事故は少なくありません。RBACと定期的な権限棚卸しで、こうした過剰なアクセス権を防ぎます。クラウドストレージの公開設定ミスも、アクセス制御の不備の一種です。
試験での問われ方
- 「アクセス制御の3要素はどれか」→ 認証・認可・監査。
- 「役割に応じて権限を割り当てる方式はどれか」→ RBAC。
- 「認証と認可の違い」を問う問題（誰かの確認か、権限の付与か）。