情報セキュリティにおけるアクセス制御の目的とは？CIAとRBACの基礎を解説

アクセス制御（Access Control）とは、企業の情報やリソースへのアクセスを「誰に許可するか」を組織が管理できるようにするデータセキュリティの基本手法です。安全なアクセス制御では、ユーザーが本人であることを確認した上で、適切なアクセスレベルを付与するポリシーが採用されています。

アクセス制御システムの仕組み

アクセス制御システムは一般的に、施錠されたゲート・ドア・バリアなどで構成され、RFIDカード、暗証番号（PINコード）、顔認証、指紋認証、スマートフォンなどの本人認証方法を使って開錠することで、建物や特定エリアへの入場を管理します。

また、アクセス制御にはデータおよび物理的なアクセス保護が含まれ、システムへのユーザー認証を管理することでサイバーセキュリティ全体を強化します。アクセス管理とは、適切なユーザー認可・認証、ロールベースアクセス制御（RBAC）ポリシー、属性ベースアクセス制御（ABAC）ポリシーを設定し、運用・徹底することを指します。

アクセス制御の3つの基本目標

アクセス制御の根本的な目的は、情報・システム・リソースの機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）——いわゆる「CIA」——を維持し、保護することです。

機密性（Confidentiality）

機密性とは、許可された人物だけが情報やシステムを閲覧・アクセスできることを保証することです。ただし、機密性と完全性を混同するケースも少なくありません。

完全性（Integrity）

完全性とは、データが不正に改ざんされないよう保護することを指します。完全性がないまま機密性だけが保たれる状態も起こり得ます。正しい人だけがデータにアクセスできることが重要であるのと同時に、そのデータが偶然または意図的に改変されていない「正しいデータ」であることも同じくらい重要です。

可用性（Availability）

可用性は、機密性や完全性に比べると比較的理解しやすい概念です。データやリソースは保護される必要があると同時に、必要なときにタイムリーにアクセス・利用できなければなりません。例えば、1つのデータを取り出すのに10個の金庫を開けなければならないとしたら、そのデータは実用的なタイミングで活用できません。

可用性は当たり前の要件のように思えますが、セキュリティが必要以上に厳格化され、データが誰にとっても役立たなくなってしまう事態を避けるためにも、明確な目標として認識しておくことが不可欠です。

認証・認可・監査という3要素

アクセス制御はさらに、セッションにおけるクライアントの「認証」「認可」「監査」という3つの要素に細分化されます。認証手段としては、IDとパスワード、デジタル証明書、セキュリティトークン、スマートカード、生体認証などへと進化してきました。一方、認可については、ロールベースアクセス制御（RBAC）へと発展しています。

ロールベースアクセス制御（RBAC）とは

RBACは、ユーザーが業務を遂行するために必要なアクセス権限（明示的に定義されたものと暗黙的に必要なものの両方）をまとめて管理し、階層構造を通じて権限を継承できる仕組みです。1つのロールは、単一のユーザーにも、複数のユーザーで構成されるチームにも適用できます。

RBACでは、職務機能に応じてユーザーへアクセス権を割り当てます。これにより、例えばマーケティング部門の担当者は、業務に必要なネットワーク・システム・アプリケーションにのみアクセスできるようになります。具体的には、顧客関係管理（CRM）アプリケーション、企業ブログ、ソーシャルメディアアカウント、共有ドライブ内のマーケティング用フォルダ、コラボレーションツールなどが該当します。