アクセス制御（ホワイトリスト・ブラックリスト・最小権限の原則）とは？

アクセス制御（ホワイトリスト・ブラックリスト・最小権限の原則）の意味

誰が・どの情報資源に・どのような操作を許可されるかを制御する仕組み。許可するものだけをリスト化するホワイトリスト方式、禁止するものだけをリスト化するブラックリスト方式がある。また、利用者には業務上必要な最小限の権限だけを与える「最小権限の原則」が情報セキュリティの基本方針とされる。

アクセス制御（ホワイトリスト・ブラックリスト・最小権限の原則）の具体例

業務利用が許可された特定のアプリだけ実行できるようにし、それ以外は一律禁止する運用はホワイトリスト方式に基づく対策の一例。

アクセス制御（ホワイトリスト・ブラックリスト・最小権限の原則）は試験でどう引っ掛けられる？

「原則禁止で例外だけ許可」がホワイトリスト、「原則許可で例外だけ禁止」がブラックリストで、未知の攻撃に強いのは前者。最小権限の原則は1人の権限を必要最小限に絞る話で、権限を複数人に分ける「職務分掌」とは別概念なので混同しない。

アクセス制御（ホワイトリスト・ブラックリスト・最小権限の原則）と関連する用語

• 利用者認証（多要素認証・バイオメトリクス認証）

アクセス制御（ホワイトリスト・ブラックリスト・最小権限の原則）が出た過去問

• アクセス制御を監査するシステム監査人が採った行動のうち，適切なものはどれか。

  正解：データに関するアクセス制御の管理状況の確認

  要点：監査人は独立の立場で確認・評価し運用には関与しない

  システム監査人は、被監査部門から独立した立場で、統制が適切に整備・運用されているかを評価する役割を担う。したがって管理状況を確認するのは適切だが、管理表を作成したり方針を制定したり運用そのものを行うのは、被監査側の業務に踏み込むことになり独立性を損なう。

  出典：平成28年度 春期 基本情報技術者試験 午前 問59（IPA）

• アクセス制御を監査するシステム監査人の行為のうち、適切なものはどれか。

  正解：データに関するアクセス制御の管理規程を閲覧した。

  要点：監査人は評価に徹し、対象業務そのものを担ってはならない

  システム監査人の役割は、統制が適切に整備され運用されているかを客観的に評価することであり、監査対象となる業務そのものを担ってはならない。規程を閲覧して内容を確かめる行為は評価のための証拠収集に当たり、適切である。台帳の作成、方針の制定、手続の実施はいずれも被監査部門の業務で、監査人が行えば独立性を失う。

  出典：令和1年度 秋期 基本情報技術者試験 午前 問60（IPA）

• 利用者情報を格納しているデータベースから利用者情報を検索して表示する機能だけをもつアプリケーションがある。このアプリケーションがデータベースにアクセスするときに…

  正解：参照権限

  要点：アクセス権限は業務に必要な最小限に絞る

  必要最小限の権限だけを与える最小権限の原則に従うべきである。このアプリケーションは検索と表示しか行わないので、レコードを読み取れる参照権限だけで足り、更新や管理者の権限を与えると悪用時の被害が大きくなる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問43（IPA）

• 無線LANでは，複数の端末から送信された同じ周波数の電波が衝突した場合，電波が干渉するのでそれらを受信すると信号を復調できないことがある。この問題を回避するため…

  正解：CSMA/CA

  要点：無線LANはCSMA/CAで送信前に空きを確認し衝突回避

  CSMA/CAは無線LANのアクセス制御方式で、送信前に他局が電波を出していないかを確認し、空いていてもランダムな待ち時間を置いてから送ることで衝突そのものを避ける。無線では有線のような衝突検出が難しいため、回避の考え方をとる点が特徴になる。SSIDやテザリングは衝突対策ではない。

  出典：令和8年度 （公開問題） 基本情報技術者試験 kamokuA 問8（IPA）