最小権限の原則とは？さいしょうけんげんのげんそく
最小権限の原則とは、利用者にもプログラムにも、担当する業務に必要な権限だけを与えるという原則。必要のない権限を持たせないことで、アカウントが乗っ取られたときや誤操作が起きたときに、被害の及ぶ範囲そのものを狭められる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
権限は「後で困らないように」と広めに配られ、異動や退職のたびに整理されないまま積み上がっていく。強い権限を持つIDが多いほど、1つ盗まれただけで全社の情報に手が届く状態になる。内部不正の調査でも、業務に不要な権限が残っていたことが被害を広げた要因として繰り返し挙がるため、棚卸しの手順まで含めて規程に落とす対象になる。
具体例
一般社員のPCアカウントに管理者権限を持たせず、ソフトの導入は情報システム部門へ申請させる運用が代表例。異動のたびに前の部署のファイルサーバの権限を外す棚卸しを四半期ごとに行い、その記録を監査の証跡として残す形も定着している。
試験での引っ掛け
「必要になるかもしれないから広めに付けておく」という利便性優先の運用と正面から対立する原則である点が問われる。need-to-knowが情報を知ってよい範囲を絞る考え方であるのに対し、こちらは操作できる権限を絞る側。強い権限を常時持たせず必要なときだけ与える特権的アクセス権の管理も、この原則の実装にあたる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問25（IPA）解説で登場
データベースのアカウントの種類とそれに付与する権限の組合せのうち，情報セキュリティ上，適切なものはどれか。
正解：データ構造の定義用アカウント：レコードの更新権限 無，テーブルの作成・削除権限 有
要点：アカウントには業務に必要な最小限の権限だけを与える
最小権限の原則に従い、アカウントには業務上必要な権限だけを与える。データ構造を定義する用途のアカウントにはテーブルの作成・削除権限が要るが、日々のレコード更新は行わないため更新権限は不要である。
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問57（IPA）
A社は従業員600名の投資コンサルティング会社である。東京の本社には、情報システム部、監査部などの管理部門があり、関西にB支店がある。B支店の従業員は10名であ…
正解：評価結果OK、評価根拠：アクセス権の設定状況が適切であることを確認した。
要点：OKの根拠は実際の設定状況を確認した事実
B支店では従業員にヒアリングを行い、アクセス権が最小権限の原則どおりに設定されていることを実際に確認している。評価項目どおりに実施されている状態が確認できているので、判定はOKであり、評価根拠には設定状況を確認した事実を記す。ルールの存在や運用主体は、設定が実際に適切であることの根拠にはならない。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。