アクセスコントロール（アクセス制御）とは？3つの基本機能や制御方式について徹底解説
建物の入退館と同じで、情報システムにおいても「誰が、何に、どの程度アクセスできるか」を管理することは非常に重要です。
クラウド登場以前は、情報のアクセスについて「社内システム」についてのみ考慮すれば十分でしたが、現在では「社内＋クラウド」の両方を考慮する必要があります。このアクセス管理を適切に行うための仕組みが「アクセスコントロール（アクセス制御）」です。
この記事では、アクセスコントロールの概要、目的、基本的な機能、企業に導入する際のポイントについてお伝えします。
アクセスコントロール（アクセス制御）とは
アクセスコントロールについて
アクセスコントロールとは、 コンピューターシステムにおいて、特定のユーザーだけがサイトやファイルなどにアクセスできるよう、管理者がアクセスを制御することを指します。
具体的な例を上げてみます。
● 営業部に所属するAさんは、「営業部メンバーしか見られないファイル」にアクセスできるが、開発部のBさんはアクセスできない。
● プロジェクトのメンバーであるCさんは、「未公開の新しいキャンペーンサイト」にアクセスできるが、メンバーでないDさんはアクセスできない。
● 社員であるEさんは、社員専用のチャットにアクセスできるが、アルバイトのGさんはアクセスできない。
● ショッピングサイトの利用者であるHさんは、自分のマイページにアクセスできるが、別人であるIさんはHさんのマイページにアクセスできない。
このように、「情報にアクセスする権限がある人」にのみアクセスの許可を与え、「情報を操作する権限」を管理するのがアクセスコントロールです。なお、アクセスコントロールは、「企業のシステム」のみで使われているわけではありません。「ショッピングサイトへのアクセス」「インターネットバンキングへのアクセス」など、一般消費者が普段利用するサービス・システムでも利用されています。
アクセスコントロールの目的
アクセスコントロールを行う目的は、「権限のない人の情報へのアクセスを防ぎ、情報を守ること」です。権限のない人が情報にアクセスできる状態は、組織統治上、営業上、ならび個人情報保護の観点などで望ましくありません。
● 自社の新製品開発情報を、従業員が競合企業に持ち出す
● 新しいキャンペーンのサイトが公開される前に、競合企業の社員がアクセスする
● お客様の個人情報データベースに、悪意のあるハッカーがアクセスする
アクセスコントロールを正しく行わないと、組織の統治に大きな問題が生じたり、競争優位を保てなくなったり、また個人情報漏洩による信用失墜・巨額の金銭的補償といったデメリットが生じます。アクセスコントロールは、企業の情報管理における防波堤の役割を果たしているのです。
アクセスコントロールの3つの基本機能
以下では、アクセスコントロールの3つの基本機能について解説します。
機能１：「認証」
アクセスコントロールにおける認証 (authentication) とは、端的に言うと「本人確認」を意味します。具体的には、「ログイン画面でIDとパスワードを入力する」といった認証の手順を経て、「この人は本当にアクセス権があるAさんなのか」を確かめることを指します。
なお、この「認証」は、簡単すぎても、手間がかかりすぎてもいけません。
簡単すぎると「悪意のあるハッカーによるなりすまし」が横行してしまいます。逆に「100桁のパスワードを入力する」のように手間がかかりすぎると、「面倒なので100桁を印刷した紙を持ち歩く」ようになってしまうことで逆にセキュリティが低下し「認証の手間を回避するため、こっそり別管理する」ような対応を招き、実効性がなくなってしまいます。
このため、時代に応じて「ユーザーの負担になりすぎない程度の認証」が常に模索されてきましたが、昨今のサイバー犯罪の増加から、認証は複雑化する傾向にあります。
具体的には、「二要素認証」「多要素認証」という考え方があります。これは、認証の3要素である「知識要素（パスワードなど）」「所持要素（ワンタイムパスワードなど）」「生体要素（指紋など）」を2つ以上組み合わせることで、認証の強化を行うというものです。
参考: 多要素認証とは？二要素/二段階認証との違いや導入のメリットなどを徹底解説
「不正な認証を許可しないために、認証の強度（難易度）を調整する」ことは、アクセスコントロールの重要な一部であるといえます。
機能２：「認可」
「誰であるか」を確かめることが目的の「認証」に対して、認可 (authorization) は、「特定の情報に対するアクセス権を与えること」を意味します。
認証と認可は異なる概念ですが、一般的には同時に用いられることが多いのが実情です。例えば、「ID・パスワードにより『佐藤さん』であることが認証されると同時に、『営業部に所属している佐藤さん』という属性に基づいて認可が行われ、情報にアクセス可能になる」といった具合です。
また、認可により付与されるアクセス権には単に「ファイルにアクセスできて自由に操作できる」以外に、「閲覧のみ可能」「編集可能」「転送可能」「コピー・持ち出し含めて全て可能」など、権限の強弱を持たせられる場合もあります。
「情報が不用意に持ち出される」「改ざんされる」ことを防ぐための認可の部分での対策は、アクセスコントロールにおいて極めて重要です。
機能３：「監査」
最後は「監査」です。監査の目的は、「認証」「認可」の履歴をログとして保存し管理することで、過去にさかのぼって、不正アクセスや不正な情報持ち出しなどがなかったか、怪しい操作が行われていないかを確認する機能です。
監査はあくまで、「事後的に利用されるログを証跡として保持・確認する」ことが目的であり、監査自体に不正アクセスや不正持出しを防ぐ機能はありません。しかし、情報管理上の問題が発生した際、「どのような手法で攻撃されたか」「被害範囲はどの程度か」の確認はログなしでは行なえません。また、「今後同様の攻撃を防ぐためにはどうすればよいか」についての手がかりもログから得られるため、アクセスコントロールにおいて欠かせない要素となっています。
3つのアクセス制御方式の特徴
アクセス制御方式には、主に3つの方法があります。以下で解説します。
任意アクセス制御（DAC）
DACとは、「Discretionary Access Control」の略で「情報の作成者が、『読み取り』『書き込み（変更）』『実行（プログラムなど）』の権限を持つ」方式です。
DACは、一般的な企業のオフィス環境において最も利用されている方式です。例えば、A企業に所属する田中さんは、自分が作った「社内稟議資料」を読むことも、変更することもできます。また、自分が作ったExcelマクロを実行することも可能です。
また、自分が作った資料を誰が閲覧できるかを制御する権限もあります。例えば、営業部向けに作った資料は「営業部の人だけがアクセス可能で、他の部署の人はアクセスできないようにする」といった制限です。また、「自分と、プロジェクトの共同作業者のBさんのみがファイルの編集が可能で、他の人には閲覧のみ許可する」といった制限の設定も行えます。
言い換えると、「ユーザー1人1人を信頼して、情報の管理権限を委ねる」のがDACと言えます。
DACのメリットは、自由度が高くユーザーへの制限が少ない点です。例えば、「自分が過去に作成したファイルを変更するために、毎度申請が必要」となると、多くの場合は「申請から許可までに時間がかかり、必要なタイミングで作業が行えないことによる生産性の低下」を招きます。
DACのデメリットは、自由度が高いために情報管理上問題が生じがちという点です。自分が作成した情報に関するすべての権限がある場合は、極端なことをいうと「自分でコンピューターウイルスを作って、社内で実行させる」こともできます。このため、一般企業よりも強いセキュリティが必要な組織ではDACは適さない場合があります。
強制アクセス制御（MAC）
情報の操作について、管理者に権限を集中させるのが強制アクセス制御 (MAC: Mandatory Access Control) です。ユーザーと情報（ファイル）に対して権限を設定し、管理するという仕組みです。分かりやすく説明すると、例えば「強い権限」「中くらいの権限」「弱い権限」というように、権限に強弱をつけて、これを一元的に適用する方式です。
例えば、重要度に応じて以下のような設定が可能です。
● 読み取りのみ可能（変更不可）
● 読み取りと書き込み可能（変更可能）
● 書き込みのみ可能（読み取り不可。ログファイルのように特定の情報のみを追加する場合に利用）
例えば、「銀行の出入金システム」の管理を思い浮かべてみてください。DACのように、ユーザーが作成したプログラムが誰でも実行できるような状態は危険です。こうした場合は、MACを用いてよりセキュリティの高い制限を行います。
MACのメリットはセキュリティが高いことです。デメリットは、「権限が弱いが、この部分だけは追加で権限を付与する」といった小回りが効かせにくいこともあり、一般的なオフィス環境における管理には不向きである点です。
役割ベースアクセス制御（RBAC）
RBAC (Role-Based Access Control) とは、DACとMACの間に位置する方式です。「原則的にはMACの管理を用いるが、役割に応じたアクセス権を追加で付与できる」という点が異なります。
例えば、「一般ユーザー権限」しか持たない斎藤さんは、「ABCシステム運用部」に所属したので、ABCシステムに関する権限のみ追加で付与される、といった形で利用します。
RBACのメリットは、高いセキュリティを保ちつつも、役割ベースで追加の権限を付与できることで、アクセスコントロールの運用を行いやすい点です。デメリットは、役割に応じた権限付与者の恣意的な判断により、本来は権限を有しない人にも権限が付与可能となる点です。
アクセスコントロールを企業に導入する際のポイント
同じ企業であっても、画一的なアクセスコントロールが導入されることはありません。例えば、事務作業を行う一般的なオフィス従業員に対してMACを導入すると、業務効率の低下を招くといったデメリットが大きいためです。
よって、「どのシステムに対して、どの方式のアクセスコントルールの導入が必要か」「権限の設定はどのような基準で行うか」を熟考することが最も大切です。
当社のトラスト・ログインは「クラウドサービス」や「社内システム」に対するアクセスコントロールを実現するIDaaS (クラウド型ID管理サービス）です。ユーザーのクラウドサービスや社内システムに対する認証を一元管理できることに加え、透過的なログを提供しています。
参考: トラスト・ログイン コンプライアンス・セキュリティご担当者様向け
まとめ
本記事では、アクセスコントロール（アクセス制御）とその目的、そしてアクセスコントロールの3つの機能（認証、認可、監査）について解説しました。加えて、アクセスコントロールの方式（任意アクセス制御、強制アクセス制御、役割ベースアクセス制御）についてもお伝えしました。
アクセスコントロールの導入に関しては、「どのシステムに対して、どの方式のアクセスコントルールの導入が必要か」「権限の設定はどのような基準で行うか」について、慎重な検討が必要です。
アクセスコントロールの導入についてお悩みの企業様は、アクセス制御が可能なクラウド型ID管理サービス「トラスト・ログイン」を運用する当社に、ぜひご相談ください。アクセスコントロールの専門家である当社スタッフが、貴社に合った対策をご提案いたします。
