【図解】コレ１枚でわかる不正アクセス対策の基本となるアクセス制御

コンピューターが、企業活動で大きな役割を果たす一方で、犯罪者にとっては、そこで扱われる情報は、大きな経済的価値を持つようになりました。そのため、彼らによる不正アクセスは、日増しに増えています。そのための対策の基本が、「アクセス制御」です。

アクセス制御とは「正規に認められている人以外は情報システムを使えなくする機能」で、次の4つのフェーズを経て、実行されます。

識別：対象者が適切なシステムやサービスの使用者であるかを判断し、のちに認証で利用する識別子を提供すること。識別子とは、一般的には「ID」と呼ばれます。例えば、社員番号やメールアドレスなどが使われることがあります。

認証：識別子の有効性を判断すること。例えば、IDと不可分で、IDを持っている人しか知らない要素（パスワードなど）、あるいはその人固有の要素（指紋など）を使って、そのIDが正しい対象者であることを判断します。

認可：適切な認証を受けたものに権限を与えること。例えば、IDの対象者が、人事担当者であれば、人事情報にアクセスでき、他部門の社員であれば、そこにはアクセスできないようにすることなどです。

説明責任：上記3つのフェーズが適切に実施されたことを保証するための記録を取得すること。これによって、次のことができます。

• 記録を取られていることが分かっているので、不正が抑止できる。
• 不正があっても、原因究明を容易にする。
• 不正があっても、正しく使っていれば、その対象者に嫌疑がかからない。

昨今では、ひとつのIDで、複数のサービスをシームレスに（毎回ログインすることなく、境目なしに）利用できる仕組みも普及しつつあります。例えば、MicrosoftのIDで、Googleのサービスを利用できるなどで、このような仕組みを「サービス連携」とよびます。

これによって、利用者の利便性が高まることに加え、利用者のIDに紐付けられたあらゆる行動履歴が、一元的に把握できるようになり、利用するサービス全般にわたり、「説明責任」を果たせるようになります。

次期・ITソリューション塾・第39期（2022年2月9日 開講）の募集を始めました。