最小権限原則とは？
さいしょうけんげんげんそく
最小権限原則とは、ユーザーやシステムに必要最低限のアクセス権だけを与えるセキュリティの基本方針です。
最小権限原則（Principle of Least Privilege、PoLP）とは、情報セキュリティの分野において、ユーザー・プロセス・システムコンポーネントに対して、業務遂行に必要な最低限のアクセス権限のみを付与するという設計思想です。
この原則の背景には、過剰な権限がセキュリティリスクを増大させるという認識があります。たとえばあるユーザーに管理者権限を与えてしまうと、そのアカウントが攻撃者に乗っ取られた場合、システム全体が危険にさらされます。一方、必要な権限だけに絞ることで、侵害されても被害範囲を最小化できます。
具体的な適用例としては以下のようなものがあります。
- 一般社員には自部門のファイルだけ読み書き可能にし、他部門のフォルダへはアクセス不可とする
- Webアプリのデータベースユーザーに対し、必要なテーブルへのSELECT・INSERTだけを許可し、DROP権限は与えない
- サービスアカウントにシステム管理コマンドの実行権限を持たせない
最小権限原則はゼロトラストセキュリティや多層防御とも密接に関連し、現代のクラウド環境やDevOpsにおいて不可欠なベストプラクティスとして広く採用されています。権限の定期的な見直しと不要権限の削除も、この原則を維持するうえで重要な運用です。
使い方・例文
社内システムの設計時に「最小権限原則」を適用し、経理担当者には売上データの閲覧権限のみを付与して管理者権限は与えない、といった場面で使われます。
この用語をシェア
最終更新: