承認（認可）とは？ネットワークセキュリティ制御の種類と仕組みを徹底解説

ネットワークセキュリティの中核を担う「承認（認可：Authorization）」。本記事では、認可制御の基本概念から、DAC・RBAC・MACといった代表的なアクセス制御方式、AAAフレームワークやNACの重要性まで、網羅的にわかりやすく解説します。

認可制御とは？

認可制御（アクセス制御）とは、個々のユーザーやグループがどのリソースにアクセスできるかを管理・制御するための手法です。「権限」「特権」と呼ばれることもあります。認可ポリシーが大枠の方針を定めるのに対し、アクセス制御は実際のアクセスの可否を具体的に判断する役割を果たします。

アクセス制御の代表的な3方式

アクセス制御には、以下の3つの主流な方式があります。

DAC（Discretionary Access Control／自主的アクセス制御）

リソースの所有者が、誰にアクセスを許可するかを自ら決められる方式です。柔軟性が高い反面、権限管理が分散しやすいという特徴があります。

RBAC（Role-Based Access Control／ロールベースアクセス制御）

組織内での役割（ロール）に基づいてアクセス権を割り当てる方式です。職務ごとに権限を整理できるため、大規模な組織で広く採用されています。

MAC（Mandatory Access Control／強制アクセス制御）

システム管理者やOSがアクセス権を一元的に強制管理する方式です。軍事機関など、高い機密性が求められる環境で採用されています。

ルールベースアクセス制御

あらかじめ定義されたルールに従ってアクセスを許可・拒否する方式で、RBACと組み合わせて運用されることもあります。

ネットワーク認可とは？

ネットワーク認可とは、ユーザーのアイデンティティに基づいて、ネットワーク上のさまざまなリソースへのアクセスを許可するプロセスです。多くのWebサイトでは、認証の後に認可を行う2段階のプロセスが採用されており、これによりセキュリティレベルを高めています。

ネットワークアクセス制御の基本的な方式

ネットワークへのアクセス制御は、大きく分けて2つの方法があり、いずれもネットワークセキュリティにおいて重要視されています。

• 事前受付型（Pre-admission）：ユーザーやエンドポイントがアクセスを要求した時点で、接続を許可する前に検査・判定を行う方式です。
• 事後受付型（Post-admission）：接続を許可した後も、継続的に監視と制御を行う方式です。

セキュリティ制御の4つの類型

セキュリティ制御は、次のような観点から分類できます。

• 物理的制御：施設や設備への物理的なアクセスを制御します。
• 技術的制御：サイバー空間経由でのデータアクセスを制御します。
• プロセス制御：業務プロセスの中に組み込まれた制御です。
• コンプライアンス監視：法令や社内規定への準拠状況を監視・管理します。

認証制御とは？認証と認可の違い

認証（Authentication）は、ユーザーの資格情報を、データベースやサーバーに保存された情報と照合し、一致するかどうかを確認するプロセスです。企業システム、業務プロセス、情報資産を保護するうえで、認証は最も重要な構成要素の一つです。

一方、認可（Authorization）は、認証されたユーザーが「どのレベルのアクセス権を持つか」を検証するプロセスです。身近な例としては空港の保安検査が挙げられます。搭乗者はIDを提示して本人確認（認証）を受け、そのうえで搭乗資格の有無（認可）が判断されます。

認可の具体例

例えば、家の所有者を考えてみましょう。所有者（リソースの保有者）は家に対する完全なアクセス権を持ち、一定の条件を満たす人に対してアクセスを許可できます。「所有者の許可を得た人が家に入れる」という状態こそが認可であり、リソースレベルで行われるアクションだと言えます。

認可アクセス管理とは？

認可とは、ある人に特定の行為を許可するプロセス全般を指します。システムセキュリティの文脈では、「ユーザーに特定のリソースや機能へのアクセス権限を付与すること」と定義されます。この分野では「クライアント特権」や「アクセス制御」という用語が、ほぼ同義で使われることが少なくありません。

物理的アクセス制御と論理的アクセス制御

アクセス制御は、制御対象によって大きく2つに分けられます。

• 物理的アクセス制御：施設、建物、部屋、物理的なIT資産などへの立ち入りを制限します。
• 論理的アクセス制御：コンピュータネットワーク内のシステムファイルやネットワークリソースへのアクセスを制御します。

多要素認証による本人確認

アクセス制御では、ユーザー名やパスワード、PINコード、生体認証（バイオメトリクス）、セキュリティトークンなどの資格情報を用いてユーザーを識別します。さらに多くのアクセス制御システムでは、複数の認証手段を組み合わせて本人性を確認する「多要素認証（MFA）」が採用されています。

AAA（トリプルエー）とは？

AAAは、認証（Authentication）、認可（Authorization）、アカウンティング（Accounting）の頭文字を取ったフレームワークで、「トリプルエー」とも呼ばれます。AAAを活用することで、次のことが実現できます。

• コンピュータリソースへのアクセスをインテリジェントに制御
• セキュリティポリシーの強制
• 利用状況の監査
• 収集した利用情報に基づく課金

NAC（ネットワークアクセス制御）とは？

ネットワークアクセス制御（NAC：Network Access Control）は、コンピュータセキュリティにおける技術の一つで、以下の要素を単一の管理システムへ統合することを目指します。

• エンドポイントセキュリティ技術（ウイルス対策ソフト、ホスト侵入防止、脆弱性評価など）
• ユーザーまたはシステムの認証
• ソフトウェアによるポリシー強制

なぜネットワークアクセス制御が重要なのか

組織のネットワークには、PC、スマートフォン、IoT機器など多種多様な端末が接続されます。NACを導入することで、これらの無数のエンドポイントを一元的に管理でき、許可されていない不正なデバイスや、マルウェアに感染した危険なデバイスがネットワークに損害を与えるのを防ぐことができます。

ネットワークアクセス制御リスト（ACL）とは？

アクセス制御リスト（ACL）は、ネットワーク上でパケットをフィルタリングするための仕組みです。信頼できない経路を通じてパケットが流れるのを防ぎ、ネットワーク内部のパケットへのアクセスを制限するとともに、外部のユーザーやデバイスからのアクセスを制御し、パケットがネットワーク外へ流出するのを防ぐ役割も果たします。

まとめ

承認（認可）は、ネットワークセキュリティにおいて「誰が何にアクセスできるか」を決定する重要な制御です。DAC・RBAC・MACなどの各方式を正しく理解し、AAAフレームワークやNACを適切に組み合わせることで、組織の情報資産をより効果的に保護することができます。