【情報セキュリティマネジメント】アクセス制御と権限管理、便利さより必要性で決める｜最小権限・職務分離・ゼロトラスト・棚卸し

2026.08.27

利用者が正しいパスワードでログインできても、その利用者へ全ての情報や機能を使わせてよいわけではありません。

アクセス制御では、誰であるかを確認する認証と、どの情報へ何をしてよいかを決める認可を区別します。さらに、付与した権限を異動・退職・業務変更に合わせて見直さなければ、不要な権限が残ります。

この記事では、アクセス権の適否を、広すぎないか・一人へ集まりすぎていないか・場所だけで信頼していないか・現在の職務に合っているかという四つの視点から整理します。

読み終えるころには、事例の権限付与が業務上の必要性で説明できるかを判断でき、便利さを理由に広げた権限が残っていないかを確認できるようになります。

先に結論：四つの問いで判断する

問い 原則・管理 確認すること
広すぎないか 最小権限 業務に不要な情報・操作・管理者権限まで与えていないか
集まりすぎていないか 職務分離 申請・承認・実行・確認を一人で完結できないか
信じすぎていないか ゼロトラスト 社内、会社端末、VPN接続という理由だけで許可していないか
現在も必要か 利用者アクセスの管理 異動・退職・契約終了後の権限が残っていないか

権限は、便利だから広く与えるのではなく、業務上の必要性を説明できる範囲へ絞ります。

SGシラバスでの位置付け

SGシラバス Ver.4.1では、アカウント管理、利用者アクセス権の管理（need-to-know（最小権限）の原則ほか）、アクセス制御、特権的アクセス権の管理、アクセス権の設定が用語例に挙げられ、科目Bでも利用者アクセスの管理と利用者の責任が示されています。

一方、ゼロトラスト、職務分離、パスワードの一律な定期変更を避ける考え方は名称として明示されていません。本記事では、関連問題の判断に必要な周辺概念として扱います。

1．認証と認可を区別する

認証は、利用者、端末、サービスなどが、主張している主体であるかを確認することです。

認可は、認証された主体に対して、どの資源へのどの操作を許可するかを決めることです。

例えば、同じ顧客管理システムへログインできても、担当者ごとに閲覧、登録、承認、設定変更などの権限を分けます。

認証に成功しても、全てのデータや管理機能を利用できるわけではありません。本人確認の方式そのものは認証の記事で扱います。

2．最小権限：必要な範囲だけを与える

最小権限の原則は、利用者やプログラムへ、担当する業務を行うために必要な最小限の権限だけを与える考え方です。

権限を絞ると、誤操作やアカウント悪用が起きた場合の影響範囲を小さくできます。

  • 閲覧だけでよい担当者へ削除権限を与えない
  • 日常業務では一般利用者アカウントを使用する
  • 管理作業時だけ管理用アカウントを使用する
  • 一時的な権限へ有効期限を設定する
  • 管理分野ごとに特権を分ける

need-to-knowは、その情報を業務上知る必要がある者へアクセスを限定する考え方です。最小権限と組み合わせ、情報の範囲と操作の範囲を絞ります。

システム間接続にも最小権限を適用する

最小権限は、人のアカウントだけに適用する原則ではありません。

業務アプリケーションからデータベースへ接続する場合、データベース管理者のアカウントをそのまま設定すると、アプリケーションが侵害された際の影響が広がります。

適切なのは、アプリケーション専用のアカウントを用意し、必要な表と操作だけを許可することです。

接続エラーの解消だけを理由に権限を広げ、そのまま残す運用も避けます。例外的に権限を追加する場合は、必要性や期限を確認できるようにします。

3．特権アカウントを通常利用から分ける

管理者権限は、設定変更や利用者管理など、システム全体へ大きな影響を与えます。

  • 日常業務用と管理作業用のアカウントを分ける
  • 管理者IDを複数人で共用しない
  • 担当する管理分野に必要な特権だけを付与する
  • 一時的な特権は期限付きにする
  • 管理操作を記録し、必要に応じて確認する
  • 異動・退職・委託終了時に速やかに不要な権限を無効化する

特権を持つ人へ全権限を常時与えたり、共通の管理者IDを使ったりする判断は不適切です。

4．職務分離：一人で重要処理を完結させない

職務分離は、申請と承認、実行と確認などを複数の担当者へ分け、一人だけで重要な処理を完結できないようにする考え方です。

例えば、振込データを作成した担当者が、自分で承認して送信まで行える状態では、不正や誤りを別の人が確認する機会が失われます。

  • 利用者が権限を申請する
  • 権限者が業務上の必要性を承認する
  • 管理担当者が承認内容どおりに設定する
  • 別の担当者が必要に応じて設定結果を確認する

上司のIDとパスワードを借りて承認操作を代行すると、職務を分けた形だけが残り、実際には一人で処理できます。誰が操作したかも追跡しにくくなります。

小規模組織で完全な分離が難しい場合は、上位者による事後確認や操作記録の点検など、補完する管理策を組み合わせます。

5．ゼロトラスト：ネットワーク上の場所だけで信頼しない

ゼロトラストでは、社内ネットワーク、会社所有端末、VPN接続済みという理由だけで、利用者や端末へ暗黙の信頼を与えません。

利用者や端末、対象資源、アクセス要求の状況などを基に判断し、必要な範囲だけを許可します。

  • 利用者だけでなく端末の状態も確認する
  • 一つの資源への認可を、別の資源へ自動的に引き継がない
  • セッション中も、必要に応じてアクセス可否を再評価する
  • 社内やVPN経由でも最小権限を適用する

ゼロトラストは「誰も信用せず全てを禁止する」という意味ではありません。また、特定製品を一つ導入すれば完成するものでも、ファイアウォールやVPNが直ちに不要になるものでもありません。

ゼロトラストという名称はSGシラバス Ver.4.1に明示されていないため、ここではNIST SP 800-207を補助資料として、アクセス制御との接点に限定して整理しています。

6．権限はライフサイクルで管理する

アクセス権は付与後も継続して管理します。

  1. 申請：必要な対象、操作、期間を明確にする
  2. 承認：業務上の必要性とリスクを権限者が確認する
  3. 設定：承認された内容どおりに設定する
  4. 利用・確認：共用IDを避け、権限の利用状況を確認する
  5. 棚卸し：現在の職務と付与済み権限を定期的に照合する
  6. 変更・終了：異動、休職、退職、契約終了に合わせて変更・無効化する

定期的な棚卸しだけに頼らず、人事異動や退職などの事象が発生した時点でも見直します。現在の職務に不要な権限や重大なリスクがある権限は、状況に応じて速やかに変更・停止・削除します。

7．パスワードの一律な定期変更を最優先にしない

SGシラバス Ver.4.1は、パスワードの一律な定期変更を推奨するか否かを明示していません。NIST SP 800-63B-4では、侵害の証拠がない場合に定期変更を要求せず、侵害が確認された場合には変更を求めます。

そのため、短期間の定期変更を一律に強制することだけを、パスワード対策の中心とは考えません。頻繁な変更を求める運用では、単純な規則で一部だけを変えるなど、実効性を損なう行動につながるおそれもあります。

次のような対策を組み合わせます。

  • 十分な長さがあり、推測されにくいパスワードを用いる
  • 他サービスとの使い回しを避ける
  • 漏えいが疑われる場合は速やかに変更する
  • 多要素認証を組み合わせる
  • 漏えい済み・よく使われるパスワードを拒否する

NIST資料はSGシラバスそのものではありません。法令、契約、業界基準、組織規程に別の要求があれば、それに従います。

8．科目Bでの使われ方

事例では、次のような記述を確認します。

  • 作業を速くするため、一人で作成から承認まで行う
  • 上司のIDを借りて承認を代行する
  • アプリケーションを管理者権限でデータベースへ接続する
  • 社内ネットワークなので追加の確認を行わない
  • 異動後も以前の部署の権限が残っている
  • 接続失敗を解消するため権限を広げ、そのままにする

判断するときは、次の順に確認します。

  1. その権限は現在の業務に必要か
  2. 権限の範囲は広すぎないか
  3. 一人で重要処理を完結できないか
  4. 場所や接続方式だけを信頼の根拠にしていないか
  5. 権限の承認者・設定者・確認者を追跡できるか

担当者としては、権限を広げる依頼を受けたら、業務上の必要性と期間を確認します。作業を早めるためだけの拡大や、一人で完結できてしまう構成に気づいた場合は、その場で対応せず、権限者や上位者へ報告して承認を仰ぎます。異動・退職・契約終了の連絡を受けたときは、定期の棚卸しを待たずに権限の見直しへつなげます。

よくある取り違え

誤った考え方 正しい整理
認証に成功すれば全機能を許可してよい 認証後の操作範囲は認可で制御する
管理者アカウントをアプリへ設定する 専用アカウントへ必要な表・操作だけを許可する
作成者が承認・実行まで行う 一人で完結できないよう職務を分離する
上司のIDを借りれば承認手続を守ったことになる 本人性と責任追跡性が失われる
VPN接続済みなら広い権限を与えてよい 接続方式にかかわらず必要な範囲へ絞る
一度付与した権限は退職まで変更しない 異動・職務変更・契約終了時にも見直す
定期変更だけをパスワード対策の中心にする 長さ、使い回し防止、多要素認証、侵害時の変更などを組み合わせる

まとめ

  • 認証は主体を確認し、認可は利用できる資源と操作を決める
  • SGシラバスには、利用者アクセス権の管理、最小権限、アクセス制御などが明示されている
  • 最小権限は、人にもシステム間接続にも適用する
  • 特権アカウントは通常利用と分け、共用せず、必要な管理分野へ限定する
  • 職務分離では、一人で重要処理を完結できないようにする
  • ゼロトラストでは、ネットワーク上の場所だけを理由に暗黙の信頼を与えない
  • アクセス権は申請から変更・削除までのライフサイクルで管理する
  • 異動・退職時の見直しと、定期的な棚卸しの両方を行う
  • パスワードの定期変更に関するNISTの考え方は、SGシラバスとは区別して理解する
  • 科目Bでは、権限が広すぎないか、一人へ集まりすぎていないか、現在も必要かを見る

関連記事

  • C1-T08：パスワードへの攻撃
  • C1-T11：内部不正のメカニズム
  • C2-T06：利用者認証の3要素と生体認証
  • C2-T07：認証方式の仕組み
  • C5-T04：組織的・人的対策
  • C5-T09：ログ管理と監視
  • C7-T08：内部不正防止
  • C9-T04：データベースとセキュリティ
  • C10-T06：内部統制とITガバナンス

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • NIST SP 800-207「Zero Trust Architecture」
  • NIST SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」
  • NIST SP 800-53 Rev.5「Security and Privacy Controls for Information Systems and Organizations」

関連する問題

コメント

タイトルとURLをコピーしました