最小権限の原則

利用者やプログラムには、業務遂行に必要最小限の権限のみを付与するという原則。不要なアクセス権限を排除することで、内部不正や誤操作によるリスクを低減する。need-to-knowの原則とも関連する。

利用者やプログラムに、業務に必要な最小限の権限だけを与える考え方。need-to-knowの原則ともいう。不正やマルウェア感染が起きたときの被害範囲を限定できる。

利用者やプログラムには、業務の遂行に必要な最小限の権限だけを与えるという原則。need-to-knowの考え方に基づき、権限の乱用や誤操作、アカウント奪取時の被害範囲を狭める効果がある。定期的な権限の棚卸しと併せて運用する。

利用者、プログラム、プロセスに対して、業務や処理を行うのに必要な最小限の権限だけを与えるという原則。最小権限の原則ともいう。権限の乱用や、アカウントの乗っ取り、脆弱性を突かれたときの被害の範囲を小さくでき、管理者権限を常用しない運用などで実践する。

ユーザーやシステムの身元を確認するプロセス。知識情報（パスワード）、所持情報（ICカード、トークン）、生体情報（指紋、虹彩）の3要素（認証の3要素）があり、複数を組み合わせた多要素認証により安全性を高める。

知識（パスワード等）、所有（ICカード、スマートフォン等）、生体（指紋、虹彩等）の3つの認証要素のうち、2つ以上を組み合わせて認証を行う方式。単一要素の認証に比べてセキュリティが大幅に向上し、パスワード漏洩だけでは不正アクセスされない。

ネットワークの内外を問わず、全てのアクセスを信頼せずに検証するセキュリティの考え方。従来の境界型防御と異なり、ユーザー、デバイス、アプリケーションごとに認証・認可を行う。「Never Trust, Always Verify」を原則とする。

建物や部屋への人の出入りを管理・制御する物理的セキュリティ対策。ICカード、生体認証、暗証番号などを用いた認証により、許可された者のみが入室できるようにする。共連れ（テールゲーティング）防止のためにアンチパスバックやインターロックが用いられる。

利用者に直接権限を付与するのではなく、役割（ロール）に権限を割り当て、利用者にロールを付与することでアクセスを制御する方式。管理の効率化と最小権限の原則の実装に適しており、多くの情報システムで採用されている。

管理者アカウントなどの特権的なアクセス権の割当て・利用を厳格に管理する仕組み。特権IDの共有禁止、利用時の承認プロセス、操作ログの記録・監視などを行う。内部不正や外部攻撃者による特権の悪用を防止する。