アクセス制御とは｜認証・認可・RBAC

概要

アクセス制御とは、情報資産に対し「誰が」「何に」「どのような操作を」できるかを制限・管理する仕組みです。許可された人だけが必要な情報にアクセスできるようにし、不正アクセスや情報漏えいを防ぎます。

アクセス制御は「認証（本人確認）→ 認可（権限付与）→ 監査（記録・確認）」の3要素で構成されます。最小権限の原則を実現する具体的な手段でもあります。

詳細（3要素・制御方式）

アクセス制御の3要素

主な制御方式

• RBAC（役割ベースアクセス制御）：役割（職務）に応じて権限を割り当てる。管理が効率的。
• 任意アクセス制御（DAC）／強制アクセス制御（MAC）など。

RBACと運用

• RBACは、個人ごとではなく「役割（部署・職位）」に権限を紐づけるため、異動・退職時の権限変更が容易。
• 最小権限の原則に基づき、役割に必要な権限のみ付与する。
• 定期的にアクセス権を棚卸しし、不要な権限を削除する。

関連例

アクセス権の設定不備により、本来見られないはずの機密情報を多くの社員が閲覧できる状態になっていた、という事故は少なくありません。RBACと定期的な権限棚卸しで、こうした過剰なアクセス権を防ぎます。クラウドストレージの公開設定ミスも、アクセス制御の不備の一種です。

試験での問われ方

• 「アクセス制御の3要素はどれか」→ 認証・認可・監査。
• 「役割に応じて権限を割り当てる方式はどれか」→ RBAC。
• 「認証と認可の違い」を問う問題（誰かの確認か、権限の付与か）。