Need-to-knowの原則とは？にーどとぅのうのげんそく
Need-to-knowの原則とは、業務上その情報を知る必要がある人にだけ開示するという原則。判断の基準は役職の高さではなく担当業務であり、共有フォルダの権限設定でも会議への出席者選定でも同じ物差しを使う。利用部門の管理者には、誰に何を知らせているかを業務の必要性で説明できる状態にしておくことが求められる。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
情報の共有範囲は長く、職位や部署の帰属で決められてきた。組織が大きくなり異動が頻繁になると、いったん与えた閲覧権が業務と無関係に残り続け、漏えいしたときの影響範囲だけが広がるようになった。そこで開示の可否を「担当業務に必要か」の一点に置き直したのがこの原則で、試験ではアクセス権の棚卸しや異動・退職時の見直しと結び付けて問われる。
具体例
情報処理推進機構（IPA）の「組織における内部不正防止ガイドライン」でも、アクセス権は必要な範囲に限り定期的に見直すことが対策に挙げられている。人事評価の資料であれば、同じ部長職でも別部門の部長には配らず、閲覧者を限定したフォルダへ置いて、異動のたびに権限を見直す運用にする。
試験での引っ掛け
最小権限の原則と対で問われる。最小権限はシステムが与える権限を必要最小限にとどめる話、Need-to-knowはそもそも情報を知らせる相手を業務の必要性で絞る話で、後者は紙の資料や口頭の説明にも及ぶ。「役職が上だから知らせてよい」という判断は、どちらの原則にも当たらない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。