許可リスト方式とは？きょかりすとほうしき
許可リスト方式とは、判定の初期値を拒否に置き、安全と確認できた値・通信・プログラムだけを名指しで通す方式。危険なものを数え上げる拒否リスト方式と対になり、列挙から漏れた未知の手口や表記ゆれが自動的に落ちるため、原理的に強い。入力値検証、通信制御、実行許可のいずれにも使う。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
防御を「悪いものを見つけて止める」で組むと、守る側は攻撃手法を先に知っていなければならない。攻撃側は表記を変えるだけで列挙をすり抜けられるので、この非対称が構造的に不利になる。そこで判定の向きを反転させ、業務で必要なものだけを定義して残りを落とす設計が原則になった。シラバスでもセキュリティ製品の用語例として拒否リストと対で挙がる。
具体例
取引先へのファイル送信で宛先ドメインを自由入力させず、契約済みドメインの表と突き合わせて選ばせる。サーバの外向き通信も業務で使う宛先だけを許す構成にしておけば、感染した端末が指令サーバへ接続しようとした時点で止まる。
試験での引っ掛け
拒否リストは多段符号化、大文字小文字、全角半角、代替表記で回避できるため、危険文字の列挙は対策として不十分と判定される。一方で許可リストにすれば安全というわけでもなく、通す集合の定義が業務上の必要より広ければ同じ穴が残る。集合をどこまで狭められたかが効き目を決める。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。