クラウドセキュリティ

最小権限の原則さいしょうけんげんのげんそく

アクセス制御権限管理ゼロトラストIAMセキュリティポリシー特権アカウント

最小権限の原則について教えて

簡単に言うとこんな感じ！

「その人が仕事をするのに必要な鍵だけ渡す」ってルールだよ！倉庫の鍵しか要らない人に、社長室や金庫の鍵まで渡さない、ってこと。万が一その人の鍵が盗まれても、被害を最小限に抑えられるんだ！

最小権限の原則とは

最小権限の原則（Principle of Least Privilege／PoLP）とは、「ある人・システム・プログラムが、自分の仕事を果たすために必要な権限だけを与え、それ以上の権限は与えない」というセキュリティの基本方針です。余計な権限を持たせないことで、万が一アカウントが乗っ取られたり、内部不正が起きたりしても、被害の範囲を限定できます。

たとえばシステム開発の担当者が、本番データベースを閲覧する必要がないなら、そのアクセス権は与えない。営業担当者が人事情報を見る必要がないなら、人事システムへのアクセスは付与しない。この「必要なものだけ」を徹底するのが最小権限の原則の考え方です。

クラウド環境が広がった現代では、この原則がとくに重要です。クラウドでは誰でも世界中からアクセスできる反面、権限設定を誤ると一瞬で大量のデータが流出します。IAM（Identity and Access Management）などのツールを使って権限を細かく制御することが、クラウドセキュリティの第一歩となっています。

最小権限の原則の核心：「必要最低限」の考え方

観点	内容	具体例
Who（誰に）	人・システム・プログラム単位で権限を設定	営業Aさん、バックアップ用スクリプト
What（何を）	アクセスできるリソースを限定	営業データのみ、特定のS3バケットのみ
How（どう使えるか）	読み取り・書き込み・削除などの操作を制限	閲覧だけOK、変更・削除はNG
When（いつまで）	必要な期間だけ権限を付与	プロジェクト期間中のみ、1時間だけ

覚え方：「合鍵は必要な部屋の分だけ」

🔑 マスターキー（全部屋OK） → 経営幹部・システム管理者だけ
🔑 部屋ごとの鍵（特定の部屋だけ） → 一般社員・担当システム
🔑 使い捨ての鍵（一時的な権限） → 外部ベンダー・一時作業

「合鍵は必要な部屋の分だけ渡す」と覚えると、最小権限の原則がイメージしやすいですよ。

権限の3つの落とし穴

よくある失敗パターン

① 全員に管理者権限を与えてしまう
  → 「とりあえず全部使えるようにしておこう」が事故のもと

② 退職者・異動者の権限を削除し忘れる
  → 使われなくなったアカウントが攻撃の入口になる

③ 「一時的に」付与した権限をそのまま放置
  → 期限切れのはずの権限が何年も残り続ける

歴史と背景

1975年 — Jerome Saltzer と Michael Schroeder が論文 “The Protection of Information in Computer Systems” で最小権限の原則を体系的に提唱。コンピュータセキュリティの基礎概念として定式化された
1990年代 — インターネットの普及とともに、外部からの不正アクセスが現実の脅威に。権限管理の重要性が企業にも広まり始める
2000年代 — SOX法（米国の企業改革法）や個人情報保護法の整備が進み、アクセス制御の記録・監査が法的に求められるようになる
2010年代 — クラウドサービスの急拡大により、IAMツール（AWS IAM、Azure Active Directoryなど）が一般化。権限管理が自動化・可視化されるようになる
2020年代 — ゼロトラストセキュリティの普及とともに、最小権限の原則が「すべてのアクセスを疑う」思想の中核に位置づけられる。クラウドネイティブ環境での実装がスタンダードに

最小権限の原則とゼロトラストの関係

最小権限の原則は、現代のセキュリティ設計思想であるゼロトラスト（Zero Trust）の中核を担う概念です。

実務でよく使われる実装方式

方式	正式名称	概要
RBAC	Role-Based Access Control（ロールベースアクセス制御）	「役割」ごとに権限をまとめて付与。「営業」「経理」などのロールを定義
ABAC	Attribute-Based Access Control（属性ベースアクセス制御）	部署・場所・時間帯などの属性を組み合わせて細かく制御
JIT	Just-In-Time Access（ジャストインタイムアクセス）	必要なときだけ一時的に権限を付与し、作業後すぐに削除
PAM	Privileged Access Management（特権アクセス管理）	管理者権限など強力な権限を持つアカウントを専門的に管理・監視

規格・RFC番号	内容
NIST SP 800-53	米国政府のセキュリティ基準。最小権限をAC-6として定義
ISO/IEC 27001	情報セキュリティマネジメントシステムの国際規格。アクセス制御の章で言及
CIS Controls v8	セキュリティ対策のベストプラクティス集。Control 6でアカウント権限管理を規定
NIST SP 800-207	ゼロトラストアーキテクチャのガイドライン。最小権限をコア原則として位置づけ