アクセス制御

認証した利用者に対し、どの資源にどの操作を許すかを制限する仕組み。必要最小限の権限だけを与える最小権限の原則に従って設定し、権限の付与状況を定期的に見直す。

情報やシステムの資源を利用できる人や操作を、認証と認可によって制限すること。利用者ごとにアクセス権を設定し、業務に必要な範囲だけを許可する。物理的な区画への立入りの制限を含めて使うこともある。

主体（利用者・プロセス）が客体（情報・資源）に対して行える操作を、あらかじめ定めた方針に従って制限する仕組み。任意アクセス制御（DAC）、強制アクセス制御（MAC）、ロールベースアクセス制御（RBAC）などの方式がある。

情報へのアクセスを、業務を遂行するうえでその情報を知る必要がある者だけに許可するという原則。役職や権限の高さではなく業務上の必要性で判断し、最小特権の原則とともに、アクセス権を付与・見直すときの基本的な考え方となる。

メッセージと、送信者と受信者が共有する秘密鍵から計算する短い値で、メッセージに付けて送り、改ざんがないことと、鍵を共有する正当な相手から送られたことを確かめるもの。共通鍵を使うため、デジタル署名と違って第三者に対する証明（否認防止）には使えない。代表的な方式にHMACがある。

認証によって本人と確認された利用者やプログラムに対し、どの資源にどの操作を許すかを決めて権限を与えること。認証が「誰か」を確かめるのに対し、認可は「何をしてよいか」を決める。OAuthは、利用者の同意に基づいて認可の情報をサービス間で受け渡す仕組みである。

認可されたユーザにサービスを利用する権利を付与し、認可されていないアクセスを防止するプロセス。情報セキュリティ方針と連携して、適切なアクセス権限の管理を行う。