アクセス制御とは？

アクセス制御の意味

利用者やプログラムがシステム内の情報・機能に対して、あらかじめ許可された範囲でのみアクセス（閲覧・変更・実行など）できるように制限する仕組み。

アクセス制御の具体例

人事情報は人事部の担当者だけが閲覧・編集でき、他部署の社員は閲覧すらできないよう権限を分ける、といった運用がアクセス制御にあたる。

アクセス制御は試験でどう引っ掛けられる？

認証との違いが頻出。相手が誰であるかを確かめるのが認証、確かめた相手に何をどこまで許すかを決めるのがアクセス制御（認可）。必要最小限の権限だけを与える「最小権限の原則」とセットで覚える。

アクセス制御と関連する用語

• 情報セキュリティの3要素

アクセス制御が出た過去問

• データベースの内容を、利用者の業務の機密性に応じて限定的に表示するようにしたい。その手法として、最も適切なものはどれか。

  正解：アクセス権を、データと利用者の組合せに対して設定する。

  要点：表示範囲の制御はデータと利用者の組合せでアクセス権を設定

  必要な人に必要な範囲だけ見せるには、どのデータに対して誰がどの操作を行えるかというアクセス権を設定するのが基本である。データと利用者の組合せで権限を管理すれば、一つのデータベースを共有したまま、業務や職責に応じた表示範囲の制御ができる。

  出典：平成21年度 秋期 ITパスポート試験 問76（IPA）

• オンライントランザクション処理システムを構成するサーバ上のソフトウェアのうち、データベース管理システムの役割の説明として、適切なものはどれか。

  正解：アプリケーションプログラムからデータの検索や更新の要求を受け付けて、データベース内のデータの検索や更新をする。

  要点：DBMSはアプリの要求を受けデータベースを検索・更新する

  DBMS（データベース管理システム）は、アプリケーションからの検索・更新要求を受け取り、実際のデータベースに対して読み書きを行うソフトウェアである。同時実行制御や障害回復、アクセス権管理も担い、アプリケーションが物理的な格納方法を意識しなくて済むようにする。業務処理そのものはアプリケーション、要求受付や通信は他のミドルウェア・OSが担う。

  出典：平成21年度 春期 ITパスポート試験 問58（IPA）

• 不正アクセス禁止法が禁じている行為はどれか。

  正解：パスワードで保護されているサーバに、ネットワーク経由で他人のIDとパスワードを使ってログインすること

  要点：他人のIDでのログインが不正アクセス行為

  不正アクセス禁止法は、ネットワーク経由でアクセス制御機能を回避して他人のコンピュータを利用する行為を禁じている。他人のIDとパスワードを無断で使ってログインする行為は、典型的な不正アクセス行為（識別符号の不正利用）にあたる。他の選択肢は、それぞれ別の法律や権利の問題として扱われる。

  出典：平成22年度 春期 ITパスポート試験 問30（IPA）

• 不正アクセス禁止法に関する記述のうち，正しいものはどれか。

  正解：実際に被害が発生しなくても，不正アクセス行為をするだけで不正アクセス禁止法違反となる。

  要点：不正アクセスは実害がなくても行為自体が違法

  不正アクセス禁止法は、他人の識別符号を使うなどしてアクセス制御機能のあるコンピュータを不正に利用する行為そのものを禁じている。財産的な被害やデータの改ざんが実際に生じたかどうかは要件ではなく、権限なくログインした時点で違反が成立する。また、正当な理由なく他人のIDとパスワードを第三者に提供する行為も禁止されており、社内LANなど閉じたネットワーク経由の行為も対象になる。

  出典：平成23年度 秋期 ITパスポート試験 問27（IPA）

• 不正アクセス行為の禁止等に関する法律で禁止されている行為はどれか。

  正解：OSなどに存在するセキュリティ上の弱点を電気通信回線を通じて攻撃してコンピュータを不正利用する行為

  要点：不正アクセス禁止法はネット経由の不正利用と識別符号の悪用を禁じる

  不正アクセス禁止法が規制するのは、ネットワーク経由でアクセス制御機能を破って他人のコンピュータを利用する行為や、他人の識別符号を無断で取得・提供・保管する行為などである。セキュリティホールを回線経由で突いて不正利用する行為は、識別符号を用いない不正アクセス行為として同法の対象となる。他の選択肢はそれぞれ別の法律が扱う。

  出典：平成24年度 春期 ITパスポート試験 問4（IPA）