認証と認可の違い（アクセス制御・RBAC）とは？

認証と認可の違い（アクセス制御・RBAC）の意味

認証は「誰であるか」を確かめる工程、認可はその相手に「何をしてよいか」を与える工程で、別の概念である。認可の実装として、権限を個人ではなく役割（ロール）に付け、利用者にロールを割り当てる方式をRBAC（ロールベースアクセス制御）という。

認証と認可の違い（アクセス制御・RBAC）の具体例

ログインでIDとパスワードを確認するのが認証。その後「経理ロールの人は支払データを更新でき、閲覧ロールの人は参照だけ」と制御するのが認可。人事異動ではロールの割当てを変えるだけで、権限設定を1件ずつ直す必要がない。

認証と認可の違い（アクセス制御・RBAC）は試験でどう引っ掛けられる？

認証が成功しても認可されるとは限らない（ログインできても管理画面は403になる）。またアクセス権は「最小権限の原則」に従い、必要な範囲だけ与えるのが原則で、とりあえず広く与えるのは誤り。

認証と認可の違い（アクセス制御・RBAC）と関連する用語

• PKIと認証局（CA）
• シングルサインオン（SSO）
• 情報セキュリティポリシとISMS

認証と認可の違い（アクセス制御・RBAC）が出た過去問

• アクセス制御を監査するシステム監査人が採った行動のうち，適切なものはどれか。

  正解：データに関するアクセス制御の管理状況の確認

  要点：監査人は独立の立場で確認・評価し運用には関与しない

  システム監査人は、被監査部門から独立した立場で、統制が適切に整備・運用されているかを評価する役割を担う。したがって管理状況を確認するのは適切だが、管理表を作成したり方針を制定したり運用そのものを行うのは、被監査側の業務に踏み込むことになり独立性を損なう。

  出典：平成28年度 春期 基本情報技術者試験 午前 問59（IPA）

• アクセス制御を監査するシステム監査人の行為のうち、適切なものはどれか。

  正解：データに関するアクセス制御の管理規程を閲覧した。

  要点：監査人は評価に徹し、対象業務そのものを担ってはならない

  システム監査人の役割は、統制が適切に整備され運用されているかを客観的に評価することであり、監査対象となる業務そのものを担ってはならない。規程を閲覧して内容を確かめる行為は評価のための証拠収集に当たり、適切である。台帳の作成、方針の制定、手続の実施はいずれも被監査部門の業務で、監査人が行えば独立性を失う。

  出典：令和1年度 秋期 基本情報技術者試験 午前 問60（IPA）

• 無線LANでは，複数の端末から送信された同じ周波数の電波が衝突した場合，電波が干渉するのでそれらを受信すると信号を復調できないことがある。この問題を回避するため…

  正解：CSMA/CA

  要点：無線LANはCSMA/CAで送信前に空きを確認し衝突回避

  CSMA/CAは無線LANのアクセス制御方式で、送信前に他局が電波を出していないかを確認し、空いていてもランダムな待ち時間を置いてから送ることで衝突そのものを避ける。無線では有線のような衝突検出が難しいため、回避の考え方をとる点が特徴になる。SSIDやテザリングは衝突対策ではない。

  出典：令和8年度 （公開問題） 基本情報技術者試験 kamokuA 問8（IPA）