アクセス制御の基本 — 最小権限の原則
最小権限の原則とは、ユーザーや処理に必要な権限だけを与え、それ以上は与えないという考え方です。
最小権限の原則 — 良い例 vs 悪い例
❌ 悪い例（過剰権限）
営業担当に管理者権限を付与
→ 他部門の個人情報にアクセス可能
→ 内部不正・情報漏えいリスク
→ 他部門の個人情報にアクセス可能
→ 内部不正・情報漏えいリスク
✓ 良い例（最小権限）
営業担当には営業データのみ読取権限
→ 他部門データは見えない
→ 被害が万一でも最小範囲に限定
→ 他部門データは見えない
→ 被害が万一でも最小範囲に限定
多要素認証（MFA）の仕組み
パスワードだけでは不十分です。知識・所持・生体の3要素から2つ以上を組み合わせることで安全性が大幅に向上します。
認証の3要素
知識情報（知っていること）
パスワード・PINコード・秘密の質問の答え
所持情報（持っているもの）
スマートフォン（SMS/認証アプリ）・ICカード・セキュリティキー
生体情報（自分自身）
指紋・顔認証・虹彩・声紋
MFAログインフロー
① ID + パスワードを入力（知識情報）
② スマホの認証アプリに6桁コードが表示される（所持情報）
③ そのコードをWebサイトに入力
④ ログイン成功！パスワードが漏れていても侵入不可能
アカウントライフサイクル管理
権限は「付与して終わり」ではいけません。状況に応じて正しく管理する必要があります。
アカウントライフサイクル
入社時
業務に必要な最小限の権限のみ付与。部門マネージャーが承認
異動・昇格時
前の権限を必ず剥奪してから新しい権限を付与（権限の積み重ねを防ぐ）
長期不在・休職
アカウントを一時停止。放置するとパスワードが漏れても気づかない
退職時
当日中にアカウント無効化・削除。退職後も有効なアカウントは侵入経路になる
よくある内部不正のパターンと対策
退職者の不正アクセス
退職後もVPNやシステムアカウントが有効なまま放置 → 元従業員が情報を持ち出す
権限の蓄積（特権昇格）
異動のたびに前の権限が残り、気づけば全部門データに読み取り権限が蓄積
試験ポイントまとめ
最小権限の原則 = 業務に必要な最低限の権限のみ付与する
MFA = 異なる種類の認証要素を2つ以上組み合わせる
退職時は当日中にアカウント無効化が鉄則
異動時は「前権限剥奪」を忘れずに（積み重ねに注意）
