アクセス制御の原則とモデル

アクセス制御は、主体が客体へ行える操作を、方針に基づいて認可・拒否する仕組みです。最小特権、職務分離、need-to-knowを原則とし、DAC、MAC、RBAC、ABACなどのモデルで権限決定を表現します。

■ 試験で押さえるポイント

• DAC（任意アクセス制御）は客体の所有者などがアクセス権を設定します。柔軟ですが、権限の再配布や設定ミスを統制する必要があります。

• MAC（強制アクセス制御）は主体のクリアランスと客体の機密ラベルなどを、中央方針に従ってシステムが強制評価し、所有者が任意に変更できません。

• RBACは職務上のロールへ権限を割り当て、利用者をロールへ所属させます。異動・退職時の権限管理と職務分離を実装しやすい方式です。

• ABACは利用者、資源、操作、時刻、端末状態などの属性とポリシーを評価します。ゼロトラストの動的な認可にも適します。

• 認証は主体が誰かを確認する処理、認可は確認済み主体にどの操作を許すかを決める処理であり、混同しません。

■ 過去問での着眼点

所有者が決めるDAC、ラベルをシステムが強制するMAC、職務ロールへ権限を付けるRBACを区別します。最小特権は業務遂行に必要な権限まで奪うことではなく、必要最小限の範囲・期間に限定する原則です。認証と認可は別の処理である点も頻出です。

例: 経理担当ロールへ支払申請権限、承認者ロールへ承認権限を付与し、一人が両ロールを兼ねないようにすれば、RBACで最小特権と職務分離を実装できます。