アクセスコントロールの概要

アクセスコントロールとは？

「アクセスコントロール」とは、ハードウェアやハードウェア内の情報に対するアクセスを制限することを言います。アクセスコントロールのことを、「アクセス制御」と表現する場合もあります。

アクセスコントロールにおいて、ハードウェアに対するアクセスを「物理アクセス」、情報資源に対するアクセスを「論理アクセス」という場合もあります。また「物理アクセスコントロール」と「論理アクセスコントロール」では、制御の方法が異なります。

アクセスコントロールの目的

アクセスコントロールの目的は、「システムの安全性を守ること」です。たとえば、物理アクセスが制限されていない場合は、あらゆる人物がハードウェアへとアクセス可能になります。したがって、ハードウェアの破壊といったリスクが生じます。

論理アクセスが制限されていない場合には、あらゆる人物が情報資源へとアクセス可能になります。その結果、情報資源の改ざんといったリスクが生じます。こうしたリスクを回避するために、アクセスコントロールは行われます。

アクセスコントロールの方法

物理アクセスコントロールの方法

物理アクセスコントロールの基本的な考え方は、ハードウェアといった機器に対して許可された者以外を近づけさせないというものです。一般的に行われるコントロール手段としては、社屋のエントランスに警備員を配して、社員証を提示した者のみ入出を許可するという方法です。

同様の手段として、カードリーダーを設置しカードリーダー端末で許可された者のみ入出を許可するというものもあります。またサーバールームなど特に厳重なセキュリティを必要とし、アクセス可能な者もごく少数に制限されるという場合には、該当する場所の前に暗証番号入力端末を設けるといった方法も採用される場合が多いです。

論理アクセスコントロールの方法

OSやアプリケーションにかかわる論理アクセスコントロールの方法としては、「ID」と「パスワード」による認証システムの導入が一般的です。IDやパスワードのように、特定の文字配列を対象者が覚えることによる認証のような「記憶」による認証の他に、指紋など実体を伴う「モノ」による認証もあります。

また、ネットワーク経由で、論理アクセスコントロールを行う場合もあります。IPアドレスによるアクセス制限や、SSL認証技術を用いて、ネットワーク上でアクセス制限を行う場合が多くなります。

企業におけるアクセスコントロールのポイント

情報セキュリティを向上させるため、企業など組織におけるアクセスコントロールでは、セキュリティポリシーやアクセスコントロールポリシーを明確にし、社員等関係者にポリシーを順守するよう促すことが重要です。またシステム安全性を高めるには、「最小権限の原則」にのっとり、関係者に付与するアクセス権限を業務遂行上の最小限度にとどめる必要があります。

また、物理アクセスコントロールと論理アクセスコントロールを組み合わせて、セキュリティレベルを向上させる施策を行うことが重要です。セキュリティポリシーなどを策定する上では、「ISMS（Information Security Management System/情報セキュリティマネジメントシステム）などのリスクマネジメント体系を取り入れることも有効です。

自社が抱える課題や、想定されるリスクから、最適なアクセスコントロールのサービスを選定・導入しましょう。