アクセス制御とは？基本機能・方式・必要性・課題を初心者向けに解説【お役立ち情報】 | OFFICE110

「情報セキュリティ関連の技術」記事一覧

アクセス制御とは？基本機能・方式・必要性・課題を初心者向けに解説

・・・そんな疑問や不安をお持ちの方は必見です！

本記事では、まずはアクセス制御の機能とや制御方式など、押さえておきたい基本を徹底解説。
さらにアクセス制御の課題や、アカウント管理の必要性も詳しくご紹介するので、ぜひ参考にしてみてください。

アクセス制御とは？基本知識を解説

アクセス制御は、主に2つの意味で使われることが多い言葉です。

本記事では、後者のアクセス制御について説明します。

アクセス制御とは、許可されていない人からのアクセスを制限するために導入するシステム。
システム、ネットワーク、パソコンなどのデバイス等、さまざまな分野で使われています。

アクセス制御では、まず「誰が、何に対して、どのような操作を許されるか」を定義したルールを作ります。
そして、そのルールに従ってユーザーの動作を許可または拒否するという仕組みです。

アクセス制御を利用すると、外部から不正にアクセスさせないのはもちろんのこと、内部でも不要なデータにはアクセスできないように制限できます。

アクセス制御の3つの機能を分かりやすくご紹介

アクセス制御は、以下の3つの機能から成り立っています。

それでは次に、それぞれの機能について分かりやすくご紹介します。

機能①ユーザーを識別する「認証」

「認証」はユーザーを識別する機能で、アクセスしてきたユーザーが許可されたユーザーであるか判断します。
ログインできる権限を与えられたユーザーのみ、システムやサービスへの操作が許可されます。

認証の方法は、以下のようなものがあります。

ID・パスワードを使った認証	WEBサイトのログイン、PCのログインなどで広く使われている認証方式。
クライアント認証	電子証明書を用いた認証で、クライアントがサーバーにアクセスするときに、身分証明書のようなものを提示する。 アクセスできるのは、クライアント証明書を持っている機器のみ。
生体認証	指紋や、静脈、目の網膜など、個人の身体的特徴によって認証する。 個人で唯一無二の情報を利用する為、第三者に悪用される恐れがなく安心。

ID・パスワードでの認証やクライアント認証は、認証情報が盗まれてしまう可能性があります。
そこで新しい認証方法として登場したのが、生体情報で本人を識別する「生体認証」です。

機能②操作できる範囲を制御する「認可」

「認可」は、システムやサービスで操作できる範囲を制御する機能。
つまり認証によってアクセスを許可されたユーザーが、どこまで操作しても良いか制限します。

ユーザーは、あらかじめ用意されたアクセス制御リストの条件で指定された操作ができます。
簡単にいうと、認証でアクセス可能なユーザーを振り分け、認可によってさらに細かくアクセス可能な範囲を分ける、というイメージです。

機能③不正な操作の検知にも役立つ「監査」

「監査」は、ユーザーからのアクセスを記録する機能で、ログを記録することでアクセス制限の検証や改善に役立てられます。

アクセス履歴を分析することで、設定したアクセス制御が正しいかどうか判断することが可能。
また過去のログの確認もできるため、不正ログインや不正な操作の検知に大いに役立ちます。

よって監査はセキュリティの強化につながるだけではなく、サイバー攻撃を受けた際に被害の拡大を防ぐ効果もあります。

アクセス制御方式の4つの種類と特徴

アクセス制御には、以下の4つの種類があります。

それでは続いて、それぞれを詳しくご説明します。

方式①任意アクセス制御（DAC）

まずは、最も一般的な方式「任意アクセス制御（Discretionary access control、DAC）」をご紹介します。

任意アクセス制御では、「一般ユーザー」にアクセス制御の権限があります。
作成したファイルに自身でアクセス権限を設定し、任意でアクセス権限を付与できます。

例えば作成したファイルを誰でもアクセス可能にする、同じチーム内だけでアクセスできるようにする、というように柔軟に制限できます。

方式②強制アクセス制御（MAC）

次に、「強制アクセス制御は（Mandatory access control、MAC）」をご紹介します。

強制アクセス制御では「管理者」にアクセス制御の権限があり、管理者以外の一般ユーザーはアクセス制御の変更ができない方式です。

例えば、作成したファイルを社内の同じチーム内だけで共有しようと思っても、一般ユーザーは権限の変更が不可。
アクセス制御を変更できる権限を持った管理者に、変更してもらう必要があります。

方式③役割ベースアクセス制御（RBAC）

「役割ベースアクセス制御（Role-based access control、RBAC）」は、任意アクセス制御と強制アクセス制御の中間に位置する方式です。

具体的には、ユーザーは役割ごとにグループ化されており、その役割で許可されている範囲でアクセスや操作ができます。

例えば、経理部の人間には、社員の給与や勤怠の情報にアクセスできる権限を付与。
役員には、経営情報などの機密情報にアクセスできる権限を与える、というように社内での役割に応じてアクセス権限を振り分けることが可能です。

方式④属性ベースアクセス制御（ABAC）

「属性ベースアクセス制御（Attribute-based access control、ABAC）」は、役割ベースアクセス制御に近いアクセス制御の方式です。

属性ベースアクセス制御では、IPアドレス、部門、時間といった「属性」によってアクセス制御を行います。

例えば、IPアドレスを使って社内ネットワークからのアクセスのみを許可できます。
また、業務時間9:00-17:30の間だけアクセスを許可し、それ以外の時間はアクセスできないようにするということも可能です。

アクセス制御の必要性とは？企業に求められる理由

それでは次に、アクセス制御が必要である理由を詳しく解説します。

外部からの攻撃を阻止による情報漏洩を防ぐため

アクセス制御によって、外部からの不正アクセスや不正な操作を防止することが可能です。

一度不正アクセスを受けてしまうと、社内の情報が奪われてしまうだけでなく、顧客情報の流出などにより、社会的信用も失うことに。
そういった思わぬセキュリティ事故を防ぎ企業の存続を守るためにも、アクセス制御は必要不可欠です。

内部不正による情報漏洩を防ぐため

情報漏洩の原因で多いのが、実は内部からの流出です。
よって社員が業務に使用するデータにのみアクセスを許可することで、内部からの情報漏洩を未然に防ぐことができます。

また、アクセス制御と合わせてログ監視を行うことで、現状起きている不正を検知することもできます。
不正な操作や不審な動きを検知することで、不正を未然に防いだり、不正があったときの原因特定に役立てられます。

アクセス制御の課題とは？アカウント管理の必要性

企業の情報セキュリティ対策に必要不可欠な「アクセス制御」ですが、実は課題もあります。

そこで次に、アクセス制御の課題をそれぞれ解説します。

課題①管理が複雑になる

使用するシステムやサービスが増えると、その分アカウントを新たに作成することに。
そうなるとアカウントが複数になり、それぞれアクセス権を付与していくとなると管理が複雑になります。

また社員の異動が異動した場合も、アクセス権限を変更する必要があります。
管理者はアクセス権の付与だけでなく、変更作業も必要になるのです。

アクセス権を一元で管理するツールもありますが、そういったツールを利用しても、アカウント情報とアクセス権の紐づけが難しく、どうしても管理が煩雑になってしまいます。

課題②アカウントの不正利用のリスクも

万が一退職した社員のアカウントを停止せず、放置されていた場合、不正アクセスに悪用される危険性があります。
アカウントを不正利用されてしまうと、情報を盗まれるだけでなく、他の企業への攻撃の踏み台にされる恐れもあるでしょう。

実際に、退職した社員が社員IDを利用して機密情報を入手し、情報を横流ししていた事例もありました。
外部へのセキュリティ対策が万全でも、内部で許可されたアカウントを利用されると攻撃を防ぐのは不可能です。

課題③アクセス権の過剰付与の恐れ

社員の人事異動がある場合、逐一アクセス権を変更する必要があります。
異動先の部署でアクセス権を付与したあと、元の部署でのアクセス権を停止しないと、社員に対して必要以上のアクセス権を付与することになってしまいます。

社員がアクセスできる範囲が広がると、情報を引き出せる範囲も広がり情報漏洩の原因になることも考えられます。

アクセス制御は、一度設定したら終わりではありません。日々変わる社内の状況に合わせて、適切に管理していくことも必要です。そしてそのためには、「アカウント管理」が重要ですよ！

アカウント管理をクラウドで実現！「IDaaS（アイダース）」とは

「IDaaS（アイダース、Identity as a Service）」を簡単に説明すると、ID管理を行うクラウドサービス。
具体的には、クラウド経由でユーザー認証、IDパスワード管理、シングルサインオン (SSO)、アクセス制御などを提供し、企業システムをクラウド化するのに重要な役割を担うサービスです。

具体的には、IDaaSにはアクセス制御の他に、以下のような機能があります。

IDaaSなら、ユーザーや管理者の利便性の向上、管理の負担の軽減、セキュリティの強化が実現します。業務効率化とセキュリティ強化の両面から、これから企業に欠かせないサービスですよ。

＞OFFICE110の次世代型ID認証プラットフォーム「Auth0」もおすすめです！＜

まとめ：アクセス制御には、アカウント管理も重要！

本記事では、アクセス制御の機能と制御方式、アクセス制御が必要な理由と課題を紹介しました。

アクセス制御は、外部からの攻撃を阻止するため、内部不正を防ぐために必要な仕組みです。
適切なアクセス制御によって、社内のセキュリティの強化につながります。

一方で、アクセス制御は管理が複雑になる問題も。
適切な管理をしないと、アカウントが不正利用に使われてしまったり、アクセス権の過剰付与で、内部からの情報流出につながる危険性もあります。

近年では、クラウド経由でアカウントをまとめて管理できる「IDSaaS」というサービスも登場していますので、検討してみてはいかがでしょうか。

企業を守るためにはアクセス制御とアカウント管理が必須！複雑な管理にお悩みならOFFICE110へ

企業のセキュリティ診断から商品のご案内、導入、アフターサービスまで全面的にサポートする、オフィス機器総合販売の「OFFICE110」です。
OFFICE110では、中小企業から大企業まであらゆる企業のお悩みを解消するセキュリティ商品を種類豊富に用意しております。

例えば次世代型ID認証プラットフォーム「Auth0」では、安全なログイン認証管理によりセキュリティ強化と業務効率化を実現。
ID管理や認証認可に関わる充実した機能を、低コストで実現します。

さらにOFFICE110では、無料のセキュリティ調査も行っております。
セキュリティ対策を何から始めたらいいか分からない方も、お気軽にお問い合わせください！