アクセス制御とは？あくせすせいぎょ
アクセス制御とは、誰がどの情報資産に対してどこまでの操作をしてよいかをあらかじめ定め、それに従って許可・拒否する仕組み。認証で本人を確かめたうえで、その利用者に与えられた権限の範囲内でだけ参照・更新・削除を許すことで、不正利用と誤操作の双方を抑える。業務に必要な最小限にとどめる最小権限の原則と、管理者権限などの特権的アクセス権を別扱いで管理することが要点になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
全員が全部を見られる状態でも、関わる人数が少なく善意しかなければ事故は起きにくい。しかし組織が大きくなり、委託先や退職者が関わり、端末が社外へ持ち出されるようになると、悪意がなくても誤送信や誤削除が起きる。見られる範囲を職務に必要な分だけに絞れば、内部不正の機会も、アカウントを乗っ取られたときの被害範囲も同時に小さくなる。利用部門のリーダーは権限設計の要求そのものを出す立場なので、試験では認可の側から問われる。
具体例
人事部の共有フォルダで、給与データは人事部員だけが読み書きでき、他部署からは一覧にも表示されないよう設定する。異動があれば所属グループの変更で権限が入れ替わり、退職時にはアカウントを無効化する。この運用が回っているかは、内部監査でアクセス権限一覧と人事台帳を突き合わせる形で確認される。
試験での引っ掛け
認証（本人かを確かめる）と認可（何をどこまで許すか）の混同が定番。アクセス制御が担うのは認証の後の認可であり、「ログインできること」と「その操作が許されること」は別である。したがって多要素認証を入れて認証を固めても、権限設計が緩ければ内部からの持ち出しは防げない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問32（IPA）解説で登場
記憶媒体を介して，企業で使用されているコンピュータにマルウェアを侵入させ，そのコンピュータの記憶内容を消去した者を処罰の対象とする法律はどれか。
正解：刑法
要点：マルウェアによる破壊行為は刑法で処罰される
マルウェアを侵入させてデータを消去する行為は、刑法の電子計算機損壊等業務妨害罪や電磁的記録毀棄などの規定で処罰の対象となる。不正アクセス禁止法はネットワーク経由で識別符号を悪用するなどしてアクセス制御を突破する行為を対象とするため、記憶媒体を直接使った今回の手口には当てはまらない。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問31（IPA）解説で登場
企業において業務で使用されているコンピュータに、記憶媒体を介してマルウェアを侵入させ、そのコンピュータのデータを消去した者がいたとき、その者を処罰の対象とする法…
正解：刑法
要点：媒体経由のマルウェアによるデータ消去は刑法で処罰される
記憶媒体経由でマルウェアを侵入させてデータを消去する行為は、刑法の電子計算機損壊等業務妨害罪や電磁的記録不正作出・毀棄などの規定で処罰の対象となる。不正アクセス禁止法はネットワーク経由で他人の識別符号等を使ってアクセス制御を突破する行為を対象とするため、本問の事例には当たらない。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問29（IPA）
WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストの説明のうち、適切なものはどれか。
正解：ブラックリストは、問題がある通信データパターンを定義したものであり、該当する通信を遮断又は無害化する。
要点：WAFは通信パターンの黒白リストで攻撃を遮断する
WAFはWebアプリケーションへの通信内容を検査する仕組みで、ブラックリスト方式は攻撃に特徴的なパターンを定義しておき、合致した通信を遮断または無害化する。逆にホワイトリスト方式は正常と判断できる通信パターンだけを許可する。どちらもIPアドレスやFQDNの良し悪しを登録するものではない点に注意する。
出典・参考
公式シラバスの1 技術要素 ＞ 4 情報セキュリティ対策 ＞ 技術的セキュリティ対策に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。