情報セキュリティにおけるアクセス制御とは？基本概念からRBAC・ABACまで徹底解説

アクセス制御の基本的な定義

アクセス制御（Access Control）とは、認証情報が確認できない限り、物理的・仮想的なアクセスを制御するセキュリティ手法です。一般的には、施設や建物、部屋への立ち入りを許可された人物だけに限定することを指し、警備員による管理などを通じて実施されることが多くなっています。

物理的なアクセス制御の仕組み

アクセス制御システムは、通常、施錠されたゲートやドア、バリアなどで構成されています。これらは、RFIDカード、暗証番号（PINコード）、顔認証、指紋認証、スマートフォンなどの本人認証手段を使って解錠でき、建物や特定エリアへの入場を可能にします。

サイバーセキュリティを強化するデータ保護

アクセス制御には、データおよび物理的なアクセス保護が含まれており、システムへのユーザー認証を適切に扱うことでサイバーセキュリティを強化します。アクセス管理では、適切なユーザー認可・認証の設定と運用、ロールベースのアクセス制御ポリシー（RBAC）、属性ベースのアクセス制御ポリシー（ABAC）の策定と強制が求められます。

アクセス権限の柔軟な管理

アクセス制御システムを導入すれば、どのユーザーがどのエリアにアクセスできるかを完全に管理できます。従業員は業務に必要なエリアへのアクセスを許可され、キーカードの利用やPINの入力によって、複数のドア・ゲート・バリアや指定された経路へ容易にアクセスできるようになります。

認証・認可・監査への進化

アクセス制御は、セッションごとのユーザーの認証、認可、監査へと進化してきました。認証デバイスも、IDとパスワード、デジタル証明書、セキュリティトークン、スマートカード、そして生体認証へと発展しています。

RBACが採用される分野

RBAC（ロールベースアクセス制御）は、役割の定義が明確で、変化のペースが比較的緩やかであり、アイデンティティや役割・権限の変更に対応できる人事環境を維持できる組織、すなわち政府機関、軍事組織、多くの企業で広く採用されています。

情報開示の適切な管理に不可欠な要素

アクセス制御とは、ユーザーを識別し、情報・システム・リソースに対する特定の権限を付与する一連の手続きです。アクセス制御の要素を理解することは、情報の適切な開示を管理する方法を理解するうえで不可欠です。

アクセス制御の対象となるリソース

アクセス制御とは、特定のエンティティによる特定リソースの使用を許可または拒否する機能です。この仕組みは、次のようなさまざまなリソースの管理に活用できます。

• 物理的リソース：チケット所持者のみ入場できる映画館など
• 論理的リソース：限られた人数のみ引き出しが許可されている銀行口座など
• デジタルリソース：特定ユーザーのみ閲覧できるコンピュータ上のプライベートなテキストファイルなど

物理とデジタルが融合する現代のアクセス制御

今日のデジタル化の時代において、物理的アクセス制御とコンピュータアクセス制御は収束しつつあります。現代のアクセス制御（市場では一般に「ID管理システム」と呼ばれます）は、ユーザーが物理的・電子的・仮想的に行える操作を統合的に管理するツール群を提供し、ユーザーと企業とのやり取りに関する長期にわたる監査証跡（監査ログ）の記録にも対応しています。