ABAC - Cyber SEC TSM【10/15更新】 | サイバーセキュリティTSM

ABAC

属性ベースアクセス制御（Attribute-Based Access Control）。利用者や対象、状況の属性を組み合わせた規則で、操作を許すかどうかを判定するアクセス制御の方式です。

定義

NIST SP 800-162（2014年1月公開、2019年8月更新）は、ABAC を「一連の操作を行う認可を、主体・対象・要求された操作、場合によっては環境条件に結びついた属性と、それらの関係を、ポリシーや規則に照らして評価することで決める、論理的なアクセス制御の方法」としています。

判定に使う要素

属性として扱うのは主体と対象の属性、そして環境条件です。これに要求された操作を合わせて判定します。

属性	例
主体（誰が）	所属部署、役職、資格、雇用形態
対象（何に）	文書の機密区分、所有部署、作成日
操作（何をする）	閲覧、編集、削除、ダウンロード
環境（どんな状況で）	時刻、接続元のネットワーク、端末の管理状態

規則の例：「人事部の正社員は、人事部が所有する社外秘の文書を、会社が管理する端末から閲覧できる」

RBAC との違い

• RBAC は「役割」という1つの軸で決める。ABAC は複数の属性の組み合わせで決めるので、細かく柔軟に書ける
• 状況（時刻・場所・端末）を判定に含められるので、ゼロトラストの「要求のたびに判定する」考え方と相性がよい
• その分、規則が増えると、誰が何をできるのかを人が見通しにくくなる。規則の検証と記録が欠かせない
• 実際には、役割を属性の1つとして扱い、RBAC と組み合わせて使うことが多い

関連するページ

アクセス制御・RBAC・認可・ゼロトラスト

出典

• NIST SP 800-162 Guide to Attribute Based Access Control (ABAC) Definition and Considerations

確認日：2026年10月14日