最小特権

利用者やプログラムには、業務遂行に必要最小限の権限のみを付与するという原則。不要なアクセス権限を排除することで、内部不正や誤操作によるリスクを低減する。need-to-knowの原則とも関連する。

利用者やプログラムに、業務に必要な最小限の権限だけを与える考え方。need-to-knowの原則ともいう。不正やマルウェア感染が起きたときの被害範囲を限定できる。

利用者やプログラムには、業務の遂行に必要な最小限の権限だけを与えるという原則。need-to-knowの考え方に基づき、権限の乱用や誤操作、アカウント奪取時の被害範囲を狭める効果がある。定期的な権限の棚卸しと併せて運用する。

利用者やプログラムに対して、業務遂行に必要な最小限の権限のみを付与するセキュリティの原則。過剰な権限付与によるリスク（不正利用、操作ミスによる被害拡大）を防止する。need-to-know（知る必要性）の原則とも関連する。

利用者やプロセスが、情報やシステムの資源に対してどの操作（参照、更新、削除、実行など）を行ってよいかを定めた権限。need-to-knowの原則や最小特権に基づいて業務上必要な範囲で付与し、異動や退職に合わせて変更・削除するとともに、付与の状況を定期的に見直す。

認証で本人と確かめた利用者やプログラムに対して、どの資源にどの操作を許すかを決め、アクセスの権限を与えること。認証が「誰であるか」を確かめるのに対し、認可は「何をしてよいか」を決める。最小権限の原則に従って与え、Webサービスの間で資源へのアクセス権限を委譲するにはOAuth 2.0のアクセストークンを使う。

RAG（検索拡張生成）でLLMに参照させる文書やベクトルデータベースに対し、利用者の権限に応じたアクセス制御を行うこと。検索の段階で権限のない文書を除外しないと、本来は閲覧できない機密情報が回答に含まれて漏えいする。参照データへの書込み権限を絞り、悪意ある指示や虚偽の情報を含む文書が混入するのを防ぐことも含む。

限定提供データとして保護されるための要件の一つで、そのデータが、特定の者にだけ提供するものとして、ID・パスワードによる認証や暗号化などの電磁的な方法で管理されていること。提供先以外がアクセスできないような技術的な管理措置がとられ、特定の者にだけ提供するという提供者の意思が外部から認識できる必要がある。

データの機密性・完全性・可用性を確保するための方針と対策。データの重要度に応じた分類、アクセス制御、暗号化、マスキング、ログの監視などを組み合わせて、不正アクセスや漏えい、改ざんからデータを守り、法令や契約上の要件を満たす。

利用者が本来許されていない情報や機能にアクセスできてしまう脆弱性。URLやパラメータの書換えによる他人のデータの参照、一般利用者による管理機能の実行、サーバ側での認可チェックの欠落などが該当し、OWASP Top 10では最上位のリスクに挙げられている。