「とりあえず管理者」にしない｜最小権限とは？
会社で新しいシステムを導入するとき、
「設定できないと困るから管理者にしておこう」
「担当者全員が見られたほうが便利」
「退職した人のアカウントも念のため残してある」
という運用になっていないでしょうか。
業務を止めないためには便利ですが、サイバーセキュリティの観点では、必要以上の権限を持つアカウントが増えるほど、1つのアカウントが侵害されたときの影響も大きくなります。
そこで基本となるのが「最小権限」という考え方です。
最小権限とは
最小権限とは、利用者やシステムに対して、
「その仕事をするために必要な権限だけを与える」
という原則です。
重要なのは、「信用できる人には何でも許可する」という話ではないことです。
本人が悪意を持っていなくても、
- パスワードを盗まれる
- フィッシングでアカウントを奪われる
- PCがマルウェアに感染する
- 操作を間違える
といったことは起こり得ます。
権限を限定しておけば、こうした問題が起きた場合にも影響範囲を小さくできます。
たとえば「Webサイトを更新する人」
会社のWebサイトを更新する担当者を考えてみます。
記事を書くだけなら、
「記事を作成・編集する権限」
があれば十分かもしれません。
それなのに、
- 他のユーザーを追加できる
- サーバー設定を変更できる
- サイト全体を削除できる
- 決済情報を変更できる
といった管理者権限まで与えてしまうと、そのアカウントが侵害された際の影響範囲が一気に広がります。
「その人を信用しているか」ではなく、
「その仕事に、この権限が本当に必要か」
で考えるのがポイントです。
医療機器メーカーでも同じ
医療機器メーカーでは、開発、品質保証、製造、営業、保守、外部委託先など、多くの人がさまざまなシステムを利用します。
例えば、
- ソースコード
- 製品仕様書
- SBOM
- 脆弱性情報
- 顧客情報
- 品質記録
- 製造システム
- クラウド管理画面
などです。
すべての担当者がすべての情報へアクセスする必要はありません。
特に、システム管理、ユーザー追加、データ削除、セキュリティ設定変更などの強い権限は、通常業務とは分離しておくことが重要です。
「全員管理者」が危険な理由
管理者アカウントを持つ人が10人いれば、攻撃者にとっては管理者権限を奪う入口も10個になります。
逆に、管理者権限を使う人と場面を限定しておけば、監視すべき対象も絞ることができます。
また、操作ミスへの対策にもなります。
誤ってデータを削除する、設定を変更する、公開範囲を変えるといった事故も、権限がなければ起こせません。
最小権限は「人を信用しない仕組み」ではありません。
人が間違えることや、本人以外にアカウントを利用される可能性を前提に、被害を限定する仕組みです。
AIGISとして確認したい5つのこと
1. 管理者権限を持っている人を把握しているか
まず、各サービスやシステムで誰が管理者になっているかを一覧にします。
「なぜこの人が管理者なのか分からない」という状態があれば見直し対象です。
2. 普段の作業を管理者アカウントで行っていないか
管理者権限が必要なのは、ユーザー管理や設定変更など限られた作業だけかもしれません。
通常業務では一般ユーザーを使い、必要なときだけ管理者権限を使う方法もあります。
3. 退職・異動後の権限が残っていないか
人の役割が変われば、必要な権限も変わります。
退職者だけでなく、異動した担当者や、終了したプロジェクトの外部委託先についても確認します。
4. 一時的な権限を戻しているか
障害対応や設定作業のため、一時的に強い権限を付与することがあります。
問題は、そのまま残ることです。
一時権限には「いつ戻すか」まで決めておきます。
5. 共有アカウントに頼りすぎていないか
複数人が同じ管理者IDとパスワードを使うと、
「誰が操作したのか」
を確認しにくくなります。
可能であれば利用者ごとのアカウントを発行し、それぞれ必要な権限を設定します。
権限は「一度設定して終わり」ではない
最小権限で難しいのは、最初の設定よりも、その後です。
入社、異動、退職、プロジェクト開始・終了、委託先の変更。
会社では人と仕事の関係が常に変わります。
そのため、
「誰に何の権限があるか」
を定期的に確認する必要があります。
完璧な権限設計を最初から作る必要はありません。
まずは、
「管理者は誰か」
「その権限は今も必要か」
を確認するだけでも、重要な一歩になります。
便利だから権限を増やす。
必要がなくなってもそのままにする。
こうした小さな積み重ねが、数年後には大きなアクセス権限の山になります。
最小権限とは、その山を作らないための基本的な考え方です。
参照情報
情報確認日：2026年9月10日