Need-to-knowの原則とは？にーどとぅのうのげんそく
Need-to-knowの原則とは、業務上その情報を知る必要がある人にだけ開示するという情報セキュリティの原則。役職の上下ではなく、担当業務に必要かどうかで共有範囲を決める。支援士試験では、アクセス権の付与基準、機密情報の共有範囲、委託先へ渡す情報の範囲を決める根拠として出る。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
情報は共有したほうが仕事は速いが、知る人が増えるほど漏えいの経路は増え、漏れたときに発生源を絞れなくなる。軍や政府の機密取扱いから生まれた原則で、「上司だから見せる」「同じ部署だから見せる」という慣行を否定し、必要性で線を引く。ゼロトラストの考え方も同じ原則の延長にあり、支援士は権限設計や情報の格付けを助言するときの根拠にする。
具体例
人事評価の資料は担当役員と人事部の担当者にだけ共有し、同じ部長職でも別部門の部長には配らない。M&A案件はコード名で扱い、関係者名簿に載った人だけがSharePointの限定サイトへアクセスできるようにする。Microsoft Purviewの秘密度ラベルのように、文書に格付けを付けて閲覧できる人を絞る仕組みが実装例である。
試験での引っ掛け
最小権限の原則と近いが着眼点が違う。最小権限は「システム上与える権限を必要最小限にする」話で、Need-to-knowは「そもそも情報を知らせる相手を絞る」話であり、紙や口頭にも適用される。「クリアランス（資格）があれば見てよい」のではなく、資格に加えて業務上の必要性が要る点が問われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。