アクセス権

情報やシステムに対して、誰がどのような操作（読み取り、書き込み、実行など）を行えるかを定めた権限。最小権限の原則に基づき、必要最小限の権限のみを付与する。

情報やシステムに対して、誰がどの操作（参照、更新、削除、実行など）をしてよいかを定めた権限。業務上の必要に応じて最小限を付与し、異動や退職に合わせて変更・削除するとともに、付与の状況を定期的に見直す。

利用者やプログラムが、ファイルやシステムなどの資源に対して行うことを許された操作の範囲。読取り、書込み、実行、削除などの種類があり、業務上の必要性に応じて付与し、異動や退職の際には速やかに変更・削除する。

利用者やプロセスが、ファイル、データベース、システムなどの資源に対して行える操作（読取り、書込み、実行、削除など）の権限。業務上必要な最小限に絞って与え（need-to-knowの原則、最小権限の原則）、異動や退職に合わせて変更・削除し、定期的に棚卸しして不要な権限が残っていないかを確かめる。

情報へのアクセスを、業務を遂行するうえでその情報を知る必要がある者だけに許可するという原則。役職や権限の高さではなく業務上の必要性で判断し、最小特権の原則とともに、アクセス権を付与・見直すときの基本的な考え方となる。

利用者、プログラム、プロセスに対して、業務や処理を行うのに必要な最小限の権限だけを与えるという原則。最小権限の原則ともいう。権限の乱用や、アカウントの乗っ取り、脆弱性を突かれたときの被害の範囲を小さくでき、管理者権限を常用しない運用などで実践する。

RAG（検索拡張生成）でLLMに参照させる文書やベクトルデータベースに対し、利用者の権限に応じたアクセス制御を行うこと。検索の段階で権限のない文書を除外しないと、本来は閲覧できない機密情報が回答に含まれて漏えいする。参照データへの書込み権限を絞り、悪意ある指示や虚偽の情報を含む文書が混入するのを防ぐことも含む。

限定提供データとして保護されるための要件の一つで、そのデータが、特定の者にだけ提供するものとして、ID・パスワードによる認証や暗号化などの電磁的な方法で管理されていること。提供先以外がアクセスできないような技術的な管理措置がとられ、特定の者にだけ提供するという提供者の意思が外部から認識できる必要がある。

データの機密性・完全性・可用性を確保するための方針と対策。データの重要度に応じた分類、アクセス制御、暗号化、マスキング、ログの監視などを組み合わせて、不正アクセスや漏えい、改ざんからデータを守り、法令や契約上の要件を満たす。

利用者が本来許されていない情報や機能にアクセスできてしまう脆弱性。URLやパラメータの書換えによる他人のデータの参照、一般利用者による管理機能の実行、サーバ側での認可チェックの欠落などが該当し、OWASP Top 10では最上位のリスクに挙げられている。