アクセス制御とは？

アクセス制御の意味

情報資産に対して「誰が」「何を」「どこまで」操作できるかを制限する仕組み。認証で本人確認をした後、その利用者に許された範囲の操作だけを許可することで不正利用や誤操作を防ぐ。

アクセス制御の具体例

経理部のファイルサーバでは、経理部員のみが給与データフォルダを読み書きでき、他部署の社員は参照すらできないよう設定する。

アクセス制御は試験でどう引っ掛けられる？

認証（本人かを確かめる）と認可（何をどこまで許すか）を混同しやすい。アクセス制御が担うのは認証の後の認可であって、「ログインできること」と「その操作が許されること」は別。したがって認証を強化してもアクセス権の設計が甘ければ内部からの不正は防げない。

アクセス制御と関連する用語

• 最小権限の原則
• 特権ID管理

アクセス制御が出た過去問

• システム監査において，ペネトレーションテストが最も適合するチェックポイントはどれか。

  正解：ネットワークへのアクセスコントロールが有効に機能しているか。

  要点：ペネトレーションテストは侵入試行でアクセス制御の有効性を検証。

  ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御が突破できるかどうかを確かめるテストである。ネットワークのアクセス制御が意図どおりに機能し、許可されていない経路からの侵入を阻止できているかを検証する場面に最も適合する。物理的な入退室管理や入力の正確性の確認には向かない。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問59（IPA）

• ルータの機能に関する記述のうち、適切なものはどれか。

  正解：伝送媒体やアクセス制御方式が異なるネットワークの接続が可能であり、送信データのIPアドレスを識別し、データの転送経路を決定する。

  要点：ルータはネットワーク層でIPアドレスにより経路を決める

  ルータはOSI基本参照モデルのネットワーク層で動作し、パケットの宛先IPアドレスを見て経路表に従い転送先を決めます。ネットワーク層より下の物理層・データリンク層は接続する側ごとに異なっていてよいため、伝送媒体やアクセス制御方式が違うネットワーク同士でも相互接続できます。データリンク層で中継するのはブリッジやスイッチの役割です。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問31（IPA）

• アクセス制御に用いる認証デバイスの特徴に関する記述のうち、適切なものはどれか。

  正解：成人には虹彩の経年変化がなく、虹彩認証では、認証デバイスでのパターン更新がほとんど不要である。

  要点：虹彩は経年変化が小さく、登録パターンの更新が不要

  虹彩は生後まもなく形が定まり、成人後はほとんど変化しない生体的特徴です。そのため虹彩認証では、登録した特徴パターンを加齢に合わせて更新する必要がほとんどありません。指紋や声紋のように経年や体調で変動しやすい特徴と比べ、この安定性が虹彩認証の強みになっています。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問41（IPA）

• 受信した電子メールの送信元ドメインが詐称されていないことを検証する仕組みであるSPF（Sender Policy Framework）の特徴はどれか。

  正解：受信側のメールサーバが、受信メールの送信元IPアドレスと、送信元ドメインのDNSに登録されているメールサーバのIPアドレスとを照合する。

  要点：SPFはDNSに公開した送信サーバ一覧とIPを照合する

  SPFでは、ドメインの管理者があらかじめDNSに「このドメインからのメールを送出してよいサーバのIPアドレス」を公開しておきます。受信側のメールサーバは、届いたメールの送信元IPアドレスと、エンベロープの送信元ドメインについてDNSから取得した一覧とを突き合わせ、一致しなければ詐称と判断します。ディジタル署名を用いるDKIMや、ブラックリスト照会とは仕組みが異なります。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問43（IPA）

• イーサネットで使用されるメディアアクセス制御方式であるCSMA/CDに関する記述として，適切なものはどれか。

  正解：それぞれのステーションがキャリア検知を行うとともに，送信データの衝突が起きた場合は再送する。

  要点：CSMA/CDは搬送波検知で送信し衝突を検出したら再送する

  CSMA/CDは、送信前に伝送路が使われていないかをキャリア検知で確かめ、空いていれば送信する。それでも同時送信による衝突が起きた場合は、衝突を検出して一定時間待った後に再送する。有線イーサネットで用いられる方式である。

  出典：平成29年度 春期 応用情報技術者試験 午前 問31（IPA）