1. 最小権限（Least Privilege）とは
最小権限の原則（PoLP：Principle of Least Privilege）とは、利用者やシステムに対して、その業務・機能に必要な「最小限」の権限だけを与えるという、情報セキュリティの基本的な考え方です。「念のため広めに権限を渡しておく」のではなく、「必要なものだけを、必要な範囲で」与えます。
たとえば、経理担当者には経理システムへのアクセス権を与えますが、開発サーバーの管理者権限は与えません。営業担当者には顧客管理システムを使わせますが、全社員の人事情報は見せません。このように、「その人が仕事で本当に必要とするものだけ」に権限を絞る——これが最小権限です。NIST、CIS Controls、ISO 27001など、主要なセキュリティガイドラインのいずれもが、この原則を重要な柱として掲げています。
2. 権限の「与えすぎ」が招くリスク
なぜ最小権限が重要なのか。それは、権限を「与えすぎる」ことが、深刻なリスクを招くからです。
| 与えすぎのリスク | 何が起きるか |
|---|---|
| アカウント乗っ取り時の被害拡大 | 攻撃者が乗っ取ったアカウントの広い権限を使い、被害が一気に広がる |
| 内部不正の温床 | 必要以上の権限を持つ従業員が、情報を持ち出す・悪用する |
| 操作ミスによる事故 | 広い権限での誤操作が、重大なシステム障害やデータ消失を招く |
| 棚卸しの困難化 | 誰が何にアクセスできるか分からなくなり、統制が効かなくなる |
最も怖いのが、アカウント乗っ取り時の被害拡大です。攻撃者が1つのアカウントを乗っ取ったとき、そのアカウントに強大な権限があれば、被害は社内全体に及びます。逆に、最小権限が徹底されていれば、乗っ取られても攻撃者ができることは限られ、被害を「その範囲」に封じ込められるのです。最小権限は、侵入を前提に「被害を最小化する」ための、極めて有効な考え方なのです。
3. 最小権限を実践する4ステップ
- STEP1 現状の棚卸し：まず「誰が、何に、どんな権限でアクセスできるか」を洗い出します。多くの企業で、ここに「不要な権限」が大量に眠っています。
- STEP2 役割ごとの権限設計：職務や役割に応じて、必要な権限のセットを定義します（ロールベースのアクセス制御）。個人ごとにバラバラに付与するのを避けます。
- STEP3 不要な権限の削除：棚卸しで見つかった、業務に不要な権限、退職者・異動者の残存権限を削除します。
- STEP4 定期的な見直し：権限は一度決めたら終わりではありません。異動・退職・業務変更に合わせて、定期的に棚卸しし、見直します（アクセス権レビュー）。
特に重要なのが、STEP4の定期的な見直しです。人事異動を重ねるうちに、権限だけが積み重なっていく「権限の肥大化」は、多くの企業で起きています。定期的なアクセス権の棚卸しについては、アクセス権の棚卸し（アクセスレビュー）も参考にしてください。
権限の「与えすぎ」、放置していませんか？
最小権限の実現と、その前提となる確実な認証まで。Net Peaceが、被害を最小化するアクセス管理を支援します。
4. ゼロトラストと最小権限の関係
最小権限は、ゼロトラストの中核をなす考え方でもあります。ゼロトラストは「何も信頼せず、常に検証する」を掲げますが、その検証の結果として与えるアクセスは、当然「必要最小限」であるべきです。つまり、ゼロトラストは、アクセスのたびに本人と状況を検証し、そのうえで最小権限のアクセスだけを許可する——この2つは一体なのです。
実際、米国NISTのゼロトラスト・アーキテクチャ（SP 800-207）でも、最小権限は基本原則として明記されています。ゼロトラストを実現するということは、強い認証で「誰か」を確実にし、そのうえで最小権限のアクセスに絞る、ということに他なりません。ゼロトラストの全体像はゼロトラストを実現する5つの要素もご覧ください。
5. 最小権限の前提——「誰か」を確実にする認証
ここで、見落とされがちな、しかし極めて重要な点をお伝えします。最小権限は、「その人が本当に本人である」ことが確実でなければ、意味をなさないのです。
考えてみてください。どれだけ丁寧に権限を最小化しても、その権限を持つ本人になりすまされてしまえば、攻撃者はその最小権限を、正規に使えてしまいます。経理担当者になりすませば経理システムを、管理者になりすませば管理者権限を、堂々と使えるのです。つまり、最小権限が被害を封じ込める前提として、「権限を行使しようとしているのが、本当にその本人か」を確実に確かめる認証が不可欠なのです。権限管理と認証は、車の両輪です。
そして、その認証がパスワードだけなら、フィッシングで簡単になりすまされ、最小権限の前提が崩れます。だからこそ、認証は、なりすましに強い方式であるべきです。パスワード＋SMSといった従来の多要素認証でも、フィッシングの前では万全とは言えません。最終的に目指すべきは、フィッシングに強く、なりすましを原理的に封じるパスワードレス認証（FIDO2/パスキー）です。米国NISTをはじめ世界のガイドラインが最終的に求めるのも、このパスワードレスです。最小権限で被害を封じ込める土台として、まず「誰か」を確実にする——それが、パスワードレスへの道なのです。
6. まとめ
最小権限（Least Privilege）とは、業務に必要な最小限の権限だけを与える原則です。権限の与えすぎは、アカウント乗っ取り時の被害拡大や内部不正の温床となるため、棚卸し・役割設計・不要権限の削除・定期見直しの4ステップで、権限を必要最小限に絞ることが重要です。これは、侵入を前提に被害を最小化する、ゼロトラストの中核でもあります。
そして、最小権限が機能する前提は、「権限を行使する人が本当に本人か」を確実にする認証です。なりすまされれば、最小権限も意味をなしません。だからこそ、認証はフィッシングに強くあるべきで、最終的に目指すべきはパスワードレス認証（FIDO2/パスキー）です。権限管理と強い認証は、車の両輪。まず自社の「権限の与えすぎ」と「認証の弱さ」の両方を見直しましょう。進め方でお困りなら、専門家にご相談ください。