許可リスト方式とは？きょかりすとほうしき
許可リスト方式とは、安全と確認できたものだけを通し、それ以外はすべて拒否する判定方式。危険なものを列挙して弾く拒否リスト方式と対で語られ、未知の手口や表記ゆれに原理的に強い。監査では、原則禁止・例外承認という統制の型として現れ、例外の承認記録と定期的な棚卸しが検証の対象になる。
最終更新：2026-10-06
システム監査技術者を最短で暗記・合格する →背景
拒否リストは新しい手口が出るたびに追記が要り、更新が止まった時点で穴が開く。更新の継続を人の運用に頼る統制は、監査人の立場からは有効と評価しにくい。原則すべてを禁じ、必要なものだけ承認して開ける構造にすれば、開いている口が承認記録として一覧でき、事後に一件ずつ検証できる。統制を「後から確かめられる形」にすること自体に意味がある。
具体例
Windows Defender Application ControlやAWSのセキュリティグループは、許可した対象だけを列挙する形で設定を保持する。監査人はこの設定を自ら出力し、申請・承認の記録と一件ずつ突合できる。拒否リスト方式では何が通るかの一覧が作れないため、同じ検証は成り立たない。
試験での引っ掛け
拒否リストは多段の符号化や大文字小文字、全角半角、代替表記で回避されるため、危険な文字を並べる方式は原則として不十分。一方で許可する集合の定義が広すぎれば同じ穴が開く。「許可リストで運用している」という回答は設計の話にとどまり、登録内容が業務上必要な最小に保たれているかは棚卸し記録で確かめる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。