最小権限とは

最小権限は、人やツールに、その仕事に必要なだけの権限（できること・見られる範囲）を与え、それ以上は与えないという考え方です。英語では principle of least privilege と呼ばれ、情報セキュリティの基本の原則の一つです。

たとえば、教室のアルバイトのスタッフに、教室の鍵は渡しても、事務所の金庫の鍵までは渡しません。Web のサービスでも同じで、申し込みを見て返信するだけの人に、請求の設定やメンバーの削除までできる権限は要りません。権限を絞っておくと、間違いやアカウントの乗っ取りが起きたときに、被害の届く範囲が小さくなります。

最小権限とは、どんな考え方なのか

米国の NIST（国立標準技術研究所）は、最小権限を「利用者や、利用者に代わって動くプロセスのアクセス権限を、割り当てられた仕事に必要な最小限に制限する」原則と説明しています（NIST の用語集）。人だけでなく、連携したアプリや AI のツールのように、人に代わって動く仕組みにも、同じ考え方が当てはまります。

日本の IPA（情報処理推進機構）の「組織における内部不正防止ガイドライン」は、重要な情報へのアクセスについて、次の 3 つを必要最小限にするよう勧めています。

絞るもの	意味	例
人	権限を持つ人を、必要な人だけにする	受講生の名簿を見られるのは、講師と事務の担当だけ
権限	持たせる権限を、仕事に要るものだけにする	名簿は見られるが、書き出しや削除はできない
期間	権限を持つ期間を、要る時期だけにする	繁忙期だけ手伝う人には、その期間だけ渡す

小さなチームで、なぜ大切なのか

人数が少ないと、「全員が何でもできる」設定にしがちです。手間はかかりませんが、次のような場面で困ります。

• 間違い: 編集だけのつもりの人が、設定を変えたりデータを消したりしてしまう。できることが少なければ、間違えられることも少なくなります。
• 抜けた人: 辞めた人や、仕事を終えた外の協力者のアカウントが残っていると、あとから入られるおそれがあります。IPA のガイドラインは、異動や退職で要らなくなった ID とアクセス権を、ただちに消すよう求めています。
• 共有のアカウント: 1 つのアカウントを何人かで使うと、だれが何をしたかが分からなくなります。1 人が抜けるたびに、パスワードを変える必要も出てきます。
• 乗っ取り: フィッシングなどでアカウントを乗っ取られても、相手ができるのは、そのアカウントに許された操作だけです。管理者のアカウントが乗っ取られると、被害は組織全体に広がります。

ロールとは何か

ロール（役割）は、よく使う権限の組み合わせに名前を付けたものです。一人ずつ権限を細かく選ぶ代わりに、「閲覧者」「編集者」「管理者」のようなロールを人に割り当てます。この仕組みは、ロールベースのアクセス制御（RBAC）と呼ばれます。

多くの仕事のサービスには、次のようなロールがあります。名前と中身はサービスごとにちがうので、それぞれの説明で確かめます。

よくあるロール	できることの例	向いている人
閲覧者	データを見るだけ	数字を確かめる人、相談に乗ってもらう人
編集者・メンバー	データを作る・直す	ふだんの作業をする人
管理者	メンバーの招待、ロールの変更、請求、連携の設定	組織の運営を担う人
オーナー	管理者の権限に加え、組織の削除など	事業の責任者

ロールを使うと、人が増えても一人ずつ設定する手間が減り、仕事が変わったときはロールを付け替えるだけで済みます。ちょうどよいロールがないときは、広すぎるロールより、狭いほうから始めて足すほうが安全です。

大事な操作では、1 人に全部を任せない「職務の分離」という考え方もあります。たとえば、請求書を作る人と支払いを承認する人を分けると、1 人の間違いや不正が、そのまま通りにくくなります。

ふだんの運用で、何をすればよいのか

メンバーを定期的に見直す

権限は、一度決めたら終わりではありません。仕事や体制が変わると、必要な権限も変わります。時期を決めて、メンバーの一覧とロールを見て、「この人に、この権限はまだ要るか」を確かめます。たとえば、オンライン講座の開講前だけ手伝ってもらった人に、管理者のロールが残っていないかを見ます。IPA のガイドラインは人事異動の時期にまとめて見直す例を挙げ、NIST も、割り当てた権限を定期的に見直して、要らないものを外すよう求めています。

抜けた人の権限は、すぐに外す

辞めた人や、契約が終わった協力者のアカウントは、早めに外します。人が抜けるときの手続きの中に「アカウントと権限を外す」を入れておくと、忘れにくくなります。共有のパスワードを知っていた人が抜けたときは、そのパスワードも変えます。

管理者の権限は、使う人と場面を絞る

管理者の権限は、それが要る人だけに渡します。大きな権限を持つアカウントほど、乗っ取られたときの影響も大きいので、ほかの人と共有せず、パスキーや二段階認証で守ります。パソコンでも、ふだんは管理者ではない標準のユーザーで使い、ソフトを入れるときだけ管理者の権限を使う、という分け方ができます。

API キーや連携は、用途ごとに絞る

ツールどうしをつなぐ API キーや連携にも、権限があります。

• 読むだけで足りるなら、読み取りだけの権限にする
• 用途ごとに別の API キーを作り、使わなくなったら失効させる
• 連携のときに出る「許可する範囲」の画面を読み、仕事に要らない範囲が入っていないか確かめる

API キーの扱いは「API とは」、連携のときの許可の仕組みは「OAuth とは」で説明しています。

AI のツールにも当てはまるのか

当てはまります。AI のツールに、メールを送る、データを書き換える、といった道具を使わせるときは、人と同じように権限を絞ります。

• 読むだけの作業には、読むだけの権限を渡す
• 使う人自身の権限を超えさせない（その人ができない操作は、AI に頼んでもできないようにする）
• 取り消せない操作の前には、人が中身を見て承認する

AI のツールに必要以上の権限を持たせると、AI の判断の誤りや、AI が読んだ文章に紛れ込んだ指示（プロンプトインジェクション）が、思わぬ操作につながりかねません。くわしくは「AI エージェントとは」で説明しています。

まとめ

• 最小権限は、人やツールに、仕事に必要なだけの権限を、必要な期間だけ渡す考え方です。
• 小さなチームでも、間違い、抜けた人のアカウント、共有のアカウント、乗っ取りによる被害を小さくできます。
• ロールを使うと、権限を分かりやすく割り当て、仕事が変わったときに付け替えられます。
• メンバーの定期的な見直し、抜けた人の権限をすぐ外すこと、API キー・連携・AI のツールの権限を絞ることを、習慣にします。