アクセス権限

解説

アクセス権限は、利用者やアカウントごとに、閲覧・編集・削除などの操作をどこまで許可するかを決めたものです。サポート部門は、問い合わせ履歴や顧客の連絡先、契約情報といった個人情報を日々扱います。そのため、権限の設定が粗いと、そのまま情報漏えいのリスクになります。一方で、権限を絞りすぎると、担当者が必要な情報にたどり着けず、確認のための社内エスカレーションが増えます。

仕組み

アクセス権限は、最小権限の原則に従い、役割ごとに割り当てるのが一般的です。最小権限の原則とは、業務に必要な範囲の権限だけを与える考え方です。個人ごとに権限を設定すると管理しきれないため、一般には、オペレーター、スーパーバイザー、管理者といった役割を先に定義し、役割に対して権限をひも付けます。この方式は、ロールベースアクセス制御（RBAC）と呼ばれます。RBACでは、異動があっても、利用者の役割を付け替えるだけで権限の変更を反映できます。

注意点

アクセス権限は、入退社や異動のたびに棚卸しします。権限は、付与よりも削除のほうが漏れやすいためです。たとえば、退職者のアカウントが残る、異動前の権限が付いたまま積み重なる、といった状態は監査で指摘されます。したがって、入退社のたびに権限を反映する運用と、定期的に一覧を出して不要な権限を削除する棚卸しを、両方あらかじめ決めておきます。