アクセス制御とは
アクセス制御とは、情報システム上の資産に対して「誰が、何に、どこまで触れるか」を定義し、強制する仕組みである
読み: アクセスセイギョ
かんたんに言うと
オフィスビルのセキュリティカードと同じ発想である。入館できても、すべてのフロアや部屋に入れるわけではない。役職や部署に応じて、開けるドアが違う。
誰が何にどこまで触れるかを定義するアクセス制御の三大モデル
アクセス制御の設計方針は大きく三つに分かれる。
最も普及しているのがRBAC、ロールベースアクセス制御である。ユーザーに「営業部マネージャー」「経理担当」といった役割を割り当て、役割ごとに権限を定義する。組織構造と相性が良く、管理しやすい。社員が異動したら役割を付け替えるだけで済む。
次にABAC、属性ベースアクセス制御がある。ユーザーの属性、リソースの属性、環境条件を組み合わせて動的に判定する。「東京オフィスから、勤務時間中に、自分の担当プロジェクトのファイルだけ閲覧できる」のような細かい制御が可能になる。柔軟だが、ポリシーの設計と検証が複雑になる。
三つ目がMAC、強制アクセス制御である。軍事や政府機関で使われる。情報にセキュリティレベルを付与し、ユーザーのクリアランスレベルと照合する。管理者でも自分のクリアランスを超える情報には触れない。民間企業ではほとんど採用されないが、概念として知っておくと設計の幅が広がる。
ゼロトラスト時代の権限設計
従来の境界型セキュリティでは、社内ネットワークにいれば信頼するという前提で動いていた。VPNで繋がればファイルサーバーにアクセスできる。
ゼロトラストはこの前提を捨てる。すべてのアクセスを毎回検証し、最小限の権限だけを付与する。在宅勤務が当たり前になった今、社内と社外の境界線はもはや意味を持たない。
この文脈でアクセス制御はますます重要になっている。VPN接続だけで信頼を担保していた時代と違い、アクセスのたびに「この人は、今この瞬間に、このリソースに触れる必要があるのか」を判定する仕組みが求められる。ID管理基盤やコンテキストアウェアなポリシーエンジンの導入が進んでいるのはそのためである。
AIシステムにおける権限の盲点
LLMを業務に組み込むとき、見落とされがちなのがAI経由の情報アクセスである。
RAGで社内文書を検索する仕組みを導入したとする。営業担当がチャットで質問したら、人事の評価データが回答に含まれていた。検索対象のデータベースに全文書を投入し、アクセス制御をかけていなかったケースである。
AIは「この人に見せていい情報か」を自分では判断しない。検索エンジンやデータベースのレイヤーで、ユーザーの権限に応じたフィルタリングを設計する必要がある。ここが抜けると、AIを導入したことでかえって情報漏洩のリスクが増える。
エージェント型AIが外部ツールを操作するケースでは、AIに付与する権限の範囲も慎重に設計しなければならない。人間のユーザーに与える権限と、AIに委譲する権限は別の問題である。
最小権限の原則と運用の現実
セキュリティの教科書には必ず「最小権限の原則」が載っている。業務に必要な最低限の権限だけを付与せよ、という原則である。理屈は正しい。
問題は運用にある。
プロジェクトが始まるたびに権限申請を出し、終わったら剥奪する。これを数百人規模の組織で正確に回し続けるのは相当な労力がかかる。実態としては、退職した社員のアカウントが半年放置されていたり、一時的に付与した管理者権限がそのまま残っていたりする。
定期的な棚卸しと、権限の有効期限設定が現実的な対策になる。完璧を目指すより、「異常な権限の蓄積を検知する」監視の仕組みを優先した方が、結果的にリスクは下がる。
売上の頭打ちを打破して、毎年20%成長を目指す経営者へ
1人の社員が4つのAIエージェントを使いこなせば、
1日8時間 × 4エージェント × 20営業日 = 月間640時間相当の実行余力を生み出せます。
その時間を、営業改善・商品改善・顧客対応・業務効率化に再投資できれば、
毎年20%成長を目指せる組織基盤は現実的に作れます。
初回30分の無料相談で、貴社の業務のどこにAIを入れるべきか、
640時間相当の実行余力を生み出すための導入ステップをご提案します。