アクセス管理（アクセス制御・アクセス権設定）
更新日:
用語解説
アクセス管理は、情報資産に対して誰がどの操作を行えるかを定め、アクセス権を申請・承認・付与・変更・剝奪・点検する一連の統制です。
■ 試験で押さえるポイント
認証は利用者が誰かを確認し、認可は認証済み主体に許された操作かをアクセス権で判断します。
読取り、書込み、実行、削除、管理等の権限を、職務に必要な最小限だけ与える最小権限の原則と、職務分離を適用します。
個人へ直接権限を積み上げず、職務に対応するロールへ権限を割り当てるRBACを使うと、異動時の変更と棚卸しを管理しやすくなります。
入社・異動・退職に連動して権限を更新し、特権ID、休眠ID、共有ID、例外権限を定期レビューし、操作ログを監査します。
■ 過去問での着眼点
認証は本人確認、認可はアクセス権による操作可否の判断、アクセス管理は権限のライフサイクル全体です。最小権限と職務分離を満たす選択肢を選びます。
例: 経理担当ロールには請求書入力を許可し、支払承認は別ロールへ分離します。担当者の異動時には旧ロールを直ちに外します。