情報セキュリティの基礎
社員が数千人いる会社で、ロールベースアクセス制御(RBAC)を使って権限を管理する。RBACの考え方として正しいものはどれか。
- Aファイルの持ち主が、ファイルごとに誰に読み書きを許すかを自由に決める
- B「経理担当」「人事担当」のような役割(ロール)ごとに権限をまとめて定め、利用者には役割を割り当てる
- Cすべての利用者とすべてのファイルの組み合わせごとに、1つずつ権限を設定する
答えと解説を見る
正解：B. 「経理担当」「人事担当」のような役割(ロール)ごとに権限をまとめて定め、利用者には役割を割り当てる
ロールベースアクセス制御(RBAC)では、職務に応じた役割(ロール)ごとに必要な権限をまとめて定めておき、利用者にはロールを割り当てます。利用者は、割り当てられたロールの権限だけを使えます。人が異動したときは、ロールの割り当てを変えるだけで、権限をまとめて正しく切り替えられます。利用者とファイルの組み合わせごとに権限を設定する方法は、人数やファイルが増えると管理しきれなくなり、不要な権限の消し忘れも起きやすくなります。ファイルの持ち主が自由に権限を決める方式は任意アクセス制御(DAC)と呼ばれ、多くのOSのファイルの権限で使われていますが、組織全体の方針をそろえるのは難しくなります。
- A. 持ち主が自由に決める方式は任意アクセス制御(DAC)で、RBACではありません。
- B. 正しい。役割ごとに権限をまとめ、利用者には役割を割り当てます。
- C. 利用者とファイルの組み合わせごとに設定すると、規模が大きいと管理しきれなくなります。RBACはこれを役割でまとめる方法です。