情報セキュリティにおける認証と認可の違いとは？徹底比較解説

認証（Authentication）とは

認証とは、ある人物が自分自身であることを証明するための手続きです。具体的には、本人が主張するアイデンティティ（IDカードや固有のID番号などのクレデンシャルによって示されるもの）を、そのクレデンシャルに紐づけられた1つ以上の認証要素と照合することで確認します。

認証は、ユーザー名やユーザーID、パスワードといったクレデンシャルを検証し、本人確認を行うプロセスです。システムは、提供されたクレデンシャルが正しいかどうかを判断します。

公衆ネットワークでも私設ネットワークでも、システムはログインパスワードによってユーザーの身元を認証します。認証は通常、ユーザー名とパスワードの組み合わせで行われ、場合によっては多要素認証など、複数の認証方法が併用されることもあります。

認証要素とは、システムがアクセスを許可する前に個人の身元を確認するために使用する要素のことです。文書へのアクセスから銀行取引の依頼まで、あらゆる操作の前に適用されます。

認可（Authorization）とは

認可とは、コンピュータプログラム、ファイル、サービス、情報、アプリケーション機能などのシステムリソースに対して、ユーザーやクライアントの権限やアクセスレベルを決定するセキュリティ機構です。

認可ポリシーは、そのアイデンティティに何が許可されているかを定義します。例えば、銀行の顧客であれば誰でもユーザー名などのアイデンティティを作成して、その銀行のオンラインサービスにログインできます。しかし、銀行の認可ポリシーでは、本人確認が完了した後にアクセスできるのは自分自身の口座情報のみと定められています。

認可は、単一のウェブサイトや社内イントラネットよりも細かい粒度で適用することができます。個々のアイデンティティは、共通の認可ポリシーを共有するアイデンティティのグループに含めることも可能です。

例えば、顧客の購入履歴と、顧客の個人情報およびクレジットカード情報の両方を含むデータベースを考えてみましょう。

このデータベースに対して、販売者は認可ポリシーを設定できます。マーケティングチームにはすべての顧客購入データへのアクセスを許可しつつ、個人情報やクレジットカード情報へのアクセスは禁止するという形です。これにより、マーケティングチームは人気商品を特定し、販売促進やセール対象の商品選定を行うことができます。

認証と認可の比較表

それでは、認証と認可の違いを比較表で見ていきましょう。