アクセス制御とは？必要性や基本的な機能、5つの設定方式を解説

アクセス制御とは、特定のデータやシステムにアクセス可能なユーザーをコントロールすることです。セキュリティインシデントやトラブル発生の防止を目的に、さまざまなシーンで行われています。適切なアクセス制御を行わなければ、情報漏洩や不正アクセスの原因となるでしょう。

本記事では、アクセス制御の概要と基本機能や設定時における方式の種類、実装ステップとセキュリティを高めるポイントについて詳しく解説します。アクセス制御について知りたい方、適切な制御を行いたい方は、ぜひ参考にしてください。

アクセス制御とは

アクセス制御とは、コンピューターやシステム、データなどにアクセス可能なユーザーを制限することです。例えば、部長以上の役職者に従業員データへのアクセスを許可することが該当します。アクセス制御を行うことにより、許可したユーザーのみアクセスが可能で許可されていないユーザーの侵入を防止する体制の構築が可能です。

ここからは、アクセス制御に関する以下の事項について詳しく解説します。

• アクセス制御の必要性
• アクセス制御が必要なシーン例

アクセス制御の必要性

アクセス制御が必要な理由は、セキュリティインシデントやトラブル発生を防止して、情報などの安全性を確保するためです。アクセス制御が不十分な場合、特定のユーザーやデバイスが本来アクセスすべきでない情報に触れてしまう危険があります。具体的には、悪意のある第三者が企業の保有する個人情報や機密データの閲覧・持ち出しを行う恐れがあるでしょう。また、人事や特定役職以上の従業員が、他の従業員の給与データや個人情報を閲覧することで、トラブルが発生する可能性が存在します。
アクセス制御で、システムやデータなどを閲覧・編集可能なユーザーを絞ることで、さまざまなリスクを抑制できます。

アクセス制御が必要なシーン例

アクセス制御は多彩なシーンで活用されています。具体的に、アクセス制御が必要なシーンは以下の通りです。

• ECサイトや会員サイトのマイページ
• 企業や組織の人事・給与情報
• 企業や組織の保有する顧客データ
• 社内データベース
• 医療機関の社内ネットワーク
• 研究開発部門の研究データ
• 金融機関の顧客情報

個人情報や機密情報が蓄積されているクラウドサービスやデータベースは、アクセス制御が欠かせません。企業・組織が保有する個人情報が漏洩した場合、信用やブランドイメージの低下につながります。漏洩したユーザー本人に対する賠償金や法規制に基づく罰金が発生する恐れもあるでしょう。
また、機密データがライバル企業に流出すれば企業競争力の低下につながります。

なお、個人への賠償金支払い事例や個人情報保護法における罰金の詳細については以下をご覧ください。
⇒情報漏洩による損害賠償とは？事例5選や企業に与える影響、対策まで徹底解説
⇒個人情報保護法の罰則とは？概要や罰則以外のリスク、違反を防止するための対策を解説

アクセス制御における基本的な3つの機能

アクセス制御は基本的に以下3つの機能で構成されています。

• 認証
• 認可
• 監査

ここからは、上記それぞれの機能について詳しく解説します。

認証

アクセス可能なユーザーか否かを識別する機能です。例えば、以下を実施することで本人認証やユーザー確認を行います。

• ID・パスワードの入力
• 指紋や顔などを用いた生体認証
• PINコードの入力
• SMS認証
• 秘密の質問に対する回答
• クライアント証明書の提出

近年は、ID・パスワードの入力に加えSMS認証や生体認証などを用いてセキュリティを強化しているシステム・サービスが少なくありません。二段階認証や多要素認証の導入により厳しいアクセス制御を行えば、不正アクセス・情報漏洩の防止につながります。
ただし、厳格なアクセス制御はログインする際の手間や時間が増加する原因となります。ユーザビリティが低下する恐れもあるため、セキュリティと使いやすさのバランスが重要です。

なお、二段階認証と多要素認証（MFA）の詳細は以下をご覧ください。
⇒二段階認証とは？認証方法やメリット・デメリット、注意点を解説
⇒MFA（多要素認証）とは？仕組みやメリット・デメリット、導入方法を解説

認可

ユーザーごとに、操作可能な範囲や事項をコントロールする機能です。例えば、役員に対して企業の各部門における収益データの閲覧やコピーを可能にすることが該当します。事前に定めたアクセス制御リスト（ACL：Access Control List）に基づき、各ユーザーの利用範囲を制限する仕組みが取られています。

監査

認証や許可を行ったログを保管・管理する機能です。アクセスや操作などを直接的に制限する機能ではありませんが、アクセス制御が適切に実施されているかの検証に役立ちます。不正ログインなどのセキュリティインシデントが生じた際には、ログの確認で原因の特定や迅速な対処による被害の最小化が可能です。
また、適切なアクセス制御設定になっているかを見直す際にも有効です。

アクセス制御に関する5つの方式

主なアクセス制御の方式は以下の5つです。

• 任意アクセス制御
• 強制アクセス制御
• 役割ベースアクセス制御
• 属性ベースアクセス制御
• ルールベースアクセス制御

ここからは、上記それぞれの方式について順に解説します。

任意アクセス制御

任意アクセス制御（DAC：Discretionary Access Control）は、システムやデータへのアクセス・操作権限を任意で付与する方式です。例えば、データを作成したユーザーが、人もしくはグループなどにどのような権限を付与するかを決定します。
最も基本的なアクセス制御の方式で、自由度が高い特徴があります。ただし、制御の統一化が難しく重要なデータのアクセス制御には向きません。

強制アクセス制御

強制アクセス制御は（MAC：Mandatory Access Control）は、管理者のみがアクセス制御の権限を有する方式です。管理者がアクセス制御の設定を行うため、任意アクセス制御方式よりも強固なセキュリティを築きやすい特徴があります。

役割ベースアクセス制御

役割ベースアクセス制御（RBAC：Role-Based Access Control）は、企業や組織における役割（ロール）に応じて権限を設定する方式です。異動や昇格・降格などに応じたアクセス制御設定の手間を軽減でき、また設定変更の抜け漏れも防止可能です。大手企業など従業員数が多い会社で良く用いられています。

属性ベースアクセス制御

属性ベースアクセス制御（ABAC：Attribute Based Access Control）は、ユーザーの以下属性に基づき権限を設定する方式です。

• 部署
• 部門
• 勤務地
• 職位

また、アクセス元のIPアドレスに応じて権限を付与するケースもあります。役割ベースアクセス制御と比較して、柔軟な権限付与が可能です。ただ、設定の難易度も高まり、ミスがあればセキュリティ強度が低くなります。

ルールベースアクセス制御

ルールベースアクセス制御（RUBAC：RUle Based Access Control）は、事前に定めたルールに基づき権限を設定する方式です。例えば、アクセス時間やIPアドレスを利用してアクセスを制御します。テレワークなどによる、社外からのアクセスを制御したい際に最適です。

アクセス制御を実装するステップ

アクセス制御を実施するステップは以下の通りです。

1. 目的の明確化
2. ソリューションの検討
3. ルールやポリシーの設定と実行

ここからは、上記の各ステップについて詳しく解説します。

1.目的の明確化

まずは、アクセス制御を実施する目的を明確にしましょう。アクセス制御の代表的な目的はセキュリティインシデントの防止ですが、他にも業務効率化や内部不正の防止に役立ちます。目的に応じて最適なソリューションが異なるため、アクセス制御の実施により何を実現したいか明らかにすることが重要です。

2.ソリューションの検討

目的が明確になったら、その目的を実現するための最適なソリューションを検討しましょう。目的を基に必要な機能や要件を洗い出すことが重要です。むやみやたらとセキュリティを強化すれば、ユーザビリティが低下します。ソリューションの柔軟性なども確認して、必要なセキュリティレベルとユーザビリティを実現できるツールの選択が良いでしょう。

3.ルールやポリシーの設定と実行

用いるソリューションが決定したら、ルールとポリシーを設定・実行します。具体的には以下を明確にします。

• どのようなルールやポリシーを設定するか
• どのコンピューターやサーバー、データベースにルール・ポリシーを設定するか
• どのユーザーやロール、グループなどに対して、どんな制限をかけるか

ルールやポリシーを設定する際には、テスト期間を設けて業務処理に問題ないかを確認すると良いでしょう。

アクセス制御に関するセキュリティを高めるポイント

アクセス制御に関するセキュリティを高めるには、最新の攻撃手法や脆弱性を把握することが重要です。脆弱性とはセキュリティにおける欠陥のことです。多くのサイバー攻撃は脆弱性を悪用しています。最新の攻撃手法や脆弱性を知らないままでは、制御を強化しても不十分な場合があるでしょう。

また、ASMの実施もアクセス制御のセキュリティを高めるために有効です。ASM（Attack Surface Management）とは、企業や組織におけるIT資産がサイバー攻撃に対してどの程度脆弱であるかを把握して、リスクの可視化と管理を行うセキュリティ手法のことです。ASMを実施すれば、外部から狙われやすい資産やアクセス経路を可視化して、制御の強化ポイントを特定できます。
弊社SMSデータテックでは「ダークウェブアイ/ASM」サービスを提供しています。攻撃対象の緊急度や対応策がわかるため、セキュリティ強化に効果的です。

なお、ASMの詳細は以下をご覧ください。
⇒ASM（Attack Surface Management）とは？実施ステップやおすすめツール7選を解説

まとめ

アクセス制御とは、コンピューターやシステム、データなどにアクセス可能なユーザーを制限することです。セキュリティインシデントやトラブル発生の防止を目的に実施されます。適切なアクセス制御を行うことで、許可したユーザーのみアクセスが可能で許可されていないユーザーの侵入を防止する体制を構築できます。
ただ、設定にミスや脆弱性があれば簡単に突破されてしまうでしょう。

アクセス制御の強化には、内部ルールだけでなく外部視点と最新情報のキャッチアップが不可欠です。ダークウェブアイ/ASMとセキュリティNOW!を組み合わせることで、実践的な制御強化が可能になります。