セキュリティ
最小権限の原則
Least Privilege
読み：さいしょうけんげんのげんそく
業務や処理に必要な最小限の権限を、必要な範囲と期間に限定して与える考え方です。
01初心者向け
まず意味をつかむ
念のため何でもできる権限を配ると、誤操作や侵害時の被害が広がります。必要な仕事ができる範囲を明確にし、余分な権限を減らします。
02実務者向け
仕事でどう使うか
役割ごとに必要な操作を洗い出し、通常権限と特別な作業の権限を分けます。定期点検、異動時の変更、期間終了時の失効を運用へ組み込みます。
03専門家向け
判断を一段深める
権限を絞りすぎて非公式な共有アカウントが増えると逆効果です。正規の申請や緊急時の付与を使いやすくし、利用記録と事後確認を設けます。必要最小限の基準は業務の変化に合わせて見直します。
IN PRACTICE
具体例で考える
架空の集計処理に会員データの参照だけを許可し、削除や権限変更は認めません。臨時の更新権限は承認した時間帯に限ります。
理解を助けるための架空の例です。担当業務で必要な操作
限定した権限の付与
利用確認と失効
権限のライフサイクルの例です。すべての作業を禁止する意味ではありません。
ここは誤解しやすい
一度最小限と判断した権限でも、担当や業務が変われば不要になる場合があります。
この知識を、組織の力へ。