アクセス制御 - Cyber SEC TSM【10/15更新】 | サイバーセキュリティTSM

アクセス制御

誰が（主体）、何に（対象）、何をしてよいか（操作）を決め、それを守らせる仕組みです。

定義

NIST の用語集には、次のような定義があります。

• 情報や情報処理サービスの取得・利用、特定の物理的な施設への立ち入りといった個々の要求を、許可または拒否する過程（FIPS 201-3、NIST SP 800-12 Rev. 1）
• 重要な情報資源へのアクセスを制限または検知する手順と管理策（NIST SP 800-192）
• 資源へのアクセスを、許可された主体だけに制限すること（NIST SP 800-57 Part 1 Rev. 5）

3つの段階

アクセス制御は、次の3つがそろって初めて成り立ちます。

1. 識別：あなたは誰か（ID を名乗る）
2. 認証：本当にその人か（証明する。多要素認証）
3. 認可：その人に何を許すか（権限を判定する）

さらに、行った操作を記録して後から追えるようにすることで（責任追跡性）、許可の範囲が守られているかを確かめられます。

方式

方式	決め方	向いている場面
任意アクセス制御（DAC）	対象の所有者が、誰に許すかを決める	個人のファイル共有
強制アクセス制御（MAC）	システムが、機密度の区分（ラベル）に従って決める	軍・政府の機密情報
ロールベース（RBAC）	役割に権限を結びつけ、人に役割を割り当てる	一般的な企業システム
属性ベース（ABAC）	利用者・対象・環境の属性を組み合わせた規則で決める	条件の細かいクラウドや API

設計の原則

• 最小権限の原則：必要な権限だけを与える
• 職務の分離：1人で不正を完結できないよう、重要な操作を複数人に分ける
• 既定は拒否：明示的に許可されていないものは拒否する
• ゼロトラスト：ネットワークの内側にいることを理由に信頼せず、要求のたびに判定する

関連するページ

認証・認可技術・IAM・CISSPドメイン1 セキュリティとリスク管理

出典

• NIST CSRC Glossary: access control

確認日：2026年10月14日