用語集・認証とアクセス
最小権限
Least Privilege
最小権限（Least Privilege）は、利用者やプログラムに、その仕事に必要な最小限のアクセス権だけを与えるという原則である。
別の呼び方 最小特権、最小権限の原則、権限の最小化、PoLP
要点
- 意味 最小権限（Least Privilege）は、利用者やプログラムに、その仕事に必要な最小限のアクセス権だけを与えるという原則です。
- 中小企業にとって 全員が管理者権限を持っていると、1つのアカウントが盗まれただけで社内全体を操作される。
- このサイトでは 攻撃手法 2 種、事例 3 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
全員が管理者権限を持っていると、1つのアカウントが盗まれただけで社内全体を操作される。
退職者や異動者、委託先の権限が残ったままだと、内部不正や乗っ取りの入口になる。
まずは管理者権限を持つアカウントを洗い出し、日常業務は標準ユーザーで行い、異動や退職のたびに権限を見直す手順を決めるとよい。
よくある誤解
- 誤解社内の人なら全員に強い権限を渡しておいた方が仕事が回る
- 実際総務省は、すべての利用者にすべての権限を与えるのではなく、必要な人にだけ必要最低限のアクセスを許可することが大切だとしている。
- 誤解権限は一度決めればそのままでよい
- 実際総務省は、異動や退職などのたびにアクセス権を見直し、定期的な棚卸しで一時的に付けた権限や退職者のアカウントが残っていないか確かめることが重要だとしている。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 事例岡山県精神科医療センター
記録ではすべての一般ユーザーに管理者権限が付与されており、対策に標準ユーザー運用への切り替えが挙げられている。
- 事例大阪急性期・総合医療センター
記録では全ユーザーに管理者権限を与えていたとされ、対策に標準ユーザー運用と個別のパスワードが挙げられている。
- 事例アスクル
記録では委託先向けの管理者アカウントが悪用されており、対策に委託先アカウントの管理者権限の厳格な運用が挙げられている。
- 攻撃手法横展開
このページは奪える権限が強いほど被害範囲が広がるとしており、権限を絞ることが横展開の広がりを抑える。
- 攻撃手法内部不正
このページは委託先の担当者が契約範囲を超える権限を長期間保持する例を挙げており、権限の絞り込みと見直しが備えになる。
出典
- least privilege - Glossary | CSRC NIST
- アクセス制御・管理 | 国民のためのサイバーセキュリティサイト 総務省
- 中小企業の情報セキュリティ対策ガイドライン 第4.0版 IPA・2026-03
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）