情報セキュリティの基本：識別・認証・認可・アクセス制御の違いとは？

認証（Authentication）とは

認証とは、ある人物が本当に本人であるかどうかを確認する手続きのことです。一般的にはユーザー名とパスワードの組み合わせが使われますが、スマートカード、網膜スキャン、音声認識、指紋認証など、その他の方法で本人確認を行うケースもあります。空港のチケットカウンターで運転免許証を提示する場面をイメージすると分かりやすいでしょう。

認可（Authorization）とは

認可とは、識別された人物が対象リソースへのアクセスを許可されているかどうかを判断することです。特定のグループに所属しているか、入場料を支払済みか、一定レベルのセキュリティクリアランスを持っているかなどを基準に判定されます。招待客リストを確認してパーティーへの入場可否をチェックしたり、オペラ鑑賞時にチケットを確認したりするのと同じ考え方です。

アクセス制御（Access Control）とは

アクセス制御は、Webリソースへのアクセスを管理すること全般を指します。ユーザーのネットワークアドレス、時間帯、利用中のネットワークなど、幅広い基準に基づいてアクセスの許可または拒否が行われます。

閉店時に門へ鍵をかける、身長48インチ（約122cm）以上の子どもだけアトラクションに乗せる、といった例えられるように、来訪者自身の属性と直接関係しない任意の条件で入場を制御するのがアクセス制御の特徴です。

3つの概念は密接に関係している

これら3つの仕組みは、実際のアプリケーションでは非常に密接に関連しているため、互いを完全に切り離して論じることは困難です。特に認証と認可は、多くの実装環境において不可分の関係にあります。

識別（Identification）と認証のプロセス

ユーザーがITシステムの利用を許可されているかを判断する過程には、「識別」と「認証」という明確に異なる段階があります。

識別は、ユーザーがITシステムに対して固有のアイデンティティを提示する段階です。名前（姓・名）でも番号（口座番号など）でも構いません。システムが複数のユーザーを区別できるように、IDは一意である必要があります。また運用要件によっては、1つの「ID」が1人の人物を表すこともあれば、複数の人物を表すこともあり、さらに特定の人物が一時的にのみ該当する形で定義される場合もあります。

認証は、個人とその固有のIDを結び付ける段階であり、主張されたIDの正当性を個人が証明する方法です。個人が自分のアイデンティティを認証するために使える基本的な手段には、次の3つがあります。

• 知識情報（Something you KNOW）：パスワード、暗証番号（PIN）、鍵のダイヤル番号、本人の経歴に由来する情報の組み合わせなど、本人だけが知っている情報。

• 所持情報（Something you POSSESS）：トークンやカード、物理的な鍵など、本人だけが持っている物品。

• 生体情報（Something you ARE）：指紋や声紋といった「バイオメトリクス」と呼ばれる生体的な個人特性。