最小権限の原則とは

最小権限の原則とは、人やプログラムに与える権限を、その仕事に必要な最小限にとどめる考え方です。

最小権限の原則とは何か

米国 NIST(国立標準技術研究所)の用語集は、SP 800-53 Revision 5 の定義を載せています。人やプログラムに、その働きを果たすために必要な最小限のシステムの機能やデータと権限だけを与えるように、安全の仕組みを設計する原則です。CNSSI 4009 は、米国の国家安全保障システム委員会の用語集です。その定義では、利用者のアクセス権限を、割り当てられた作業を果たすのに必要な最小限に制限する原則としています。利用者の代わりに動く処理も同じ扱いです。英語では principle of least privilege と呼びます。権限とは、ここでは、読める・書ける・設定を変えられる・他の人の権限を変えられるといった、アカウントにできることの範囲です。

公的な文書は何を求めているか

IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版は、ユーザー ID と管理者 ID の発行から削除までの手続を定め、必要最小限の割り当てにすることを勧めています。共有 ID はなるべく使わず、やむを得ず使う場合は使った人を特定できる仕組みを整えることも、同じ項目で勧めています。同じ節の「アクセス権の管理ルールを定める」の項目は、理由として 2 つを挙げています。従業員の異動や退職に伴う権限の変更・削除漏れと、特定の役職員への権限の集中による不正利用や権限の濫用です。NIST SP 800-207(ゼロトラストの文書)は、アクセスを利用のたびに、その作業に必要な最小の権限で許すことを基本原則の一つにしています。

SaaS のアカウントに当てはめるとどうなるか

SaaS(インターネット経由で使う業務ソフト)の権限を、この記事では 3 つの単位に分けて見ます。

1. 権限の種類で絞ります。全体の管理者ではなく、作業に要る権限の種類だけを与えます。投稿はできるが支払いの設定は変えられない、という形です。
2. 期間で絞ります。担当の間だけ与え、終われば外します。委託の契約が終わった日に外す、という形です。
3. 人で絞ります。共有ではなく一人ひとりの ID にし、誰が使ったかを残します。一つのアカウントを部署全員で使わない、という形です。

共有アカウントでは、この 3 つ目が成り立ちません。一組の ID とパスワードを知る人は全員が同じ権限を持ち、人ごとに絞れないためです。権限の種類を分けられないサービスや、1 つしか作れない管理者アカウントでは、IPA が勧める「使った人を特定できる仕組み」で補います。管理者用アカウントの扱いは特権 ID(管理者用アカウント)とはに、共有アカウントの方法は共有アカウントの管理にまとめています。

何から確かめるか

サービスごとに、いま誰がどの権限を持っているかを一覧にし、その人の作業に要るかを一人ずつ見ます。要らない権限は外し、担当が終わった人は削除します。IPA のガイドラインが手続として勧めているのは、この発行から削除までの流れを決めて、決めたとおりに運用することです。