最小権限とは? — 仕事に要る分だけを、要る間だけ渡す原則

どこで出てくる言葉?

情報セキュリティの話の中で出てきます。システムの担当者が「権限は最小権限で設計します」と言ったり、監査や取引先のセキュリティ確認で「最小権限の原則を守っていますか?」と聞かれたりします。最近は、AI にどこまで社内のデータや操作を任せるかを決める場面でも使われます。

米国の国立標準技術研究所(NIST)は、セキュリティの基本の考え方としてこの原則を定義しています。「利用者や、利用者の代わりに動く処理の権限を、与えられた仕事に必要な最小限に絞る」という内容です。

最小権限には何が含まれるの?

• 範囲を絞る: 見られるデータ、できる操作(読むだけか、書き換えや削除までか)を仕事に合わせて限ります
• 期間を絞る: 強い権限は、使うときだけ一時的に渡し、期限が来たら自動で外れるようにします
• 人の数を絞る: 何でもできる管理者を減らし、用途ごとの役割に分けて渡します
• 定期的に見直す: 異動や退職、使われなくなった権限やアカウントを洗い出して外します

どこまでを含めるかは、資料によって少しずつ違います。NIST の文書の中でも、「利用者の権限」を絞る書き方と、「システムの各部分に渡す資源と許可」を絞る書き方があります。前者は人の話、後者はシステムの作り方の話です。ミーティングでどちらの意味で使われているかを確かめると、話がかみ合います。

似ている用語とはどう違うの?

一緒に出てきやすいワードを表にまとめます。

経営にとって何が変わるの?

権限を広く渡しておくと、日々の作業は楽になります。その代わり、アカウントが乗っ取られたときや、社員がうっかり操作を誤ったときの被害が大きくなります。Microsoft も、権限を持つ人の数を減らす理由として、悪意のある人に入り込まれる可能性と、正当な利用者が誤って大事なデータに影響を与える可能性を下げられる点を挙げています。

一方で、最初から完璧に絞るのは難しいのが実情です。AWS(アマゾンのクラウドサービス)の手引きも、はじめは広めの権限で始め、使い方が固まるにつれて絞っていく進め方を示しています。大事なのは、絞る作業と見直しが、誰の担当として予定に入っているかです。

AI を業務に入れるときにも、この原則が効いてきます。AI のセキュリティの注意点をまとめた団体(OWASP)は、AI が思わぬ操作をしてしまう原因の 1 つに、渡した権限が多すぎることを挙げています。そして、AI に渡す権限を必要な最小限に絞るよう勧めています。商品を案内するだけの AI なら、商品の一覧を読むだけにして、書き換えや削除はできないようにする、という例です。

このワードが出たら、管理者の権限を持つ人の数、強い権限を渡す期間、見直しの頻度と担当者、AI に許している操作の範囲を確かめます。

ひとことで言うと

最小権限とは、「念のため」で権限を広げず、仕事に要る分だけを、要る間だけ渡す考え方です。