https://infomation-sytem-security.hatenablog.com/entry/need-to-know-principle

はじめに：なぜ「知る必要のある者だけ」なのか？

こんにちは、城咲子です。情報システムセキュリティの専門家として、組織における情報管理の基本中の基本である「Need to Know」の原則について、皆さんと深く掘り下げていきたいと思います。

情報セキュリティにおいて、「誰に、どこまで、どの情報を見せるか」は非常に重要な課題です。全ての情報が誰にでもアクセス可能であれば、情報漏洩や改ざんのリスクは飛躍的に高まります。そこで、情報セキュリティの最も基本的な考え方の一つとして、「Need to Know」の原則が掲げられています。

本記事では、この「Need to Know」の原則とは何か、その目的、なぜ重要なのか、そしてどのように実践すべきかについて、セキュリティ専門家である私の視点からわかりやすく解説します。

「Need to Know」の原則とは？

「Need to Know」の原則は、日本語では「知る必要性に基づいた原則」や「必要最小限の原則」などと訳されます。これは、ある情報にアクセスする権限は、その情報が自身の業務遂行上、本当に必要であると認められる者にのみ与えられるべきであるという、情報セキュリティにおけるアクセス制御の基本的な考え方です。

この原則は、軍事や政府機関といった機密情報を取り扱う組織で古くから採用されてきたものですが、現在では一般企業の情報セキュリティ管理においても不可欠な要素となっています。

「Need to Know」の目的と重要性

「Need to Know」の原則を適用する主な目的と、その重要性は以下の通りです。

情報漏洩リスクの最小化：
- 目的： 情報にアクセスできる人数や範囲を限定することで、誤操作や不正アクセスによる情報漏洩の可能性を大幅に減らします。
- 重要性： アクセス権限を持つ人が多ければ多いほど、意図的な持ち出しや、うっかりミスによる外部への流出、サイバー攻撃による被害拡大のリスクが高まります。
内部不正対策の強化：
- 目的： 権限のない者が機密情報にアクセスできないようにすることで、内部犯行による情報盗用や改ざんを防ぎます。
- 重要性： 内部不正は、外部からの攻撃と異なり、検知が難しい場合があります。アクセス範囲を絞ることで、不正行為が行われる可能性を低減させます。
情報改ざんリスクの低減：
- 目的： 情報を変更する権限も、その業務に必要な者に限定することで、データの完全性（Integrity）を保護します。
- 重要性： 誤った情報や不正に改ざんされた情報に基づいて意思決定が行われると、組織に大きな損害をもたらす可能性があります。
コンプライアンス遵守：
- 目的： 個人情報保護法、GDPR、金融商品取引法など、多くの法規制や業界標準において、機密情報の適切な管理とアクセス制限が求められています。
- 重要性： この原則を遵守することは、法的要件や監査基準を満たし、企業の法的リスクを低減することに繋がります。
監査証跡の明確化：
- 目的： 誰がどの情報にアクセスしたかを明確にすることで、万が一インシデントが発生した場合に、原因究明や責任追及を迅速に行えるようにします。
- 重要性： アクセスできる人が限定されていれば、異常なアクセスがあった際の特定が容易になります。

「Need to Know」の原則の実践方法

この原則を組織で実践するためには、以下のような具体的なアプローチが必要です。

情報資産の分類と重要度評価：
- 組織内の全ての情報資産を洗い出し、その機密性、完全性、可用性に基づいて分類（例：公開情報、社外秘、機密情報、極秘情報など）します。
- 各情報の重要度を評価し、適切な保護レベルを設定します。
役割ベースのアクセス制御（RBAC）の導入：
- 従業員の職務や役割に応じて、アクセスを許可する情報リソースやシステムを定義します。
- 例えば、経理部の社員は財務データにアクセスできるが、営業部の社員は顧客情報システムにアクセスできる、といった具体的なルールを設定します。
権限の定期的な見直しと剥奪：
- 従業員の異動、昇進、退職などがあった際には、速やかにアクセス権限を見直し、不要な権限は剥奪します。特に退職者のアカウントは速やかに無効化することが極めて重要です。
- 定期的に全ユーザーのアクセス権限リストを確認し、過剰な権限が付与されていないか、不必要なアクセス権限が残っていないか監査します。
最小権限の原則（Principle of Least Privilege）との連携：
- 「Need to Know」は、アクセス権限を「必要とする者」に限定する考え方ですが、「最小権限の原則」は、その「必要とする者」に対しても、業務遂行に必要となる最低限の権限のみを与えるという、より具体的な実践方法です。
- 例えば、データの閲覧は許可しても、変更や削除の権限は与えない、といった形で権限を細分化します。
情報共有ルールの明確化と教育：
- どの情報が「Need to Know」の対象となるか、どのような場合に共有を許可するか、具体的な共有手順などを明確にしたセキュリティポリシーを策定します。
- 従業員に対し、この原則の重要性や具体的な運用方法について、継続的に教育と啓発を行います。
アクセスログの監視と監査：
- どのユーザーが、いつ、どの情報にアクセスしたかのログを適切に取得し、定期的に監視します。
- 不審なアクセスや異常な挙動を検知した場合、速やかに調査・対応します。

まとめ：「Need to Know」は情報セキュリティの土台

「Need to Know」の原則は、情報セキュリティにおける「CIAの三原則」（機密性、完全性、可用性）のうち、特に機密性を確保するために不可欠な考え方であり、情報セキュリティ対策の土台をなすものです。

CISSP、登録セキスペとして、私は、この原則を単なるスローガンではなく、組織内の情報管理における具体的な行動規範として浸透させることが、サイバー攻撃や内部不正による情報漏洩リスクを低減し、安全な情報活用を実現するための鍵だと強く提言します。

皆さんの組織の情報が、この原則に基づいて適切に管理され、保護されるための一助となれば幸いです。