多くのセキュリティ対策は、利用者を制限し、正しい人にのみ自身の資産を使わせるアクセス制御と見なすこともできます。社員証を持っている人のみが施設に入れる、人事の人だけが従業員の評価を確認できるなど、多くのセキュリティ対策がアクセス制御に該当します。ここでは、アクセス制御の基本について学んでいきましょう。まず、アクセス制御とは？というところから入りましょう。インターネットを使う人がいて、Webサイトに見たい情報があるようにデータは扱う側と扱われる側に分かれます。主体とは人間やコンピューターといった、データを操作する側を示す概念です。対象とはデータそのものやドキュメントなど、データを操作される側を示す概念です。その主体と対象を中継し、モデルに従った適切な認可をするものがアクセス制御です。

このアクセス制御は、最小権限の原則と知る必要性（Need to Know）に則ることで、安全な IT環境が作られます。どちらも、資産へのアクセスを制限することで貴重な資産を保護するのに役立ちます。ただ、とても似ている概念のために混合しがちです。それぞれの定義を見ていき、最後に違いについて確認していきましょう。

まずは最小権限の原則です。最小権限の原則とは、権限は必要最低限であるべきというアクセス制御の原則のことです。機密性を脅かす権限を取り除くことで、職務に応じた作業を安全に実施することを目的にしています。一方で知る必要性とは、割り当てられた作業タスクを実行するために必要なデータまたはリソースへのアクセスのみをユーザーに許可する事です。主な目的は、機密情報を秘密にし続けることです。データベース管理者は、メンテナンスを実行するためにデータベースサーバーにアクセスする必要がありますが、データベース内のすべてのデータにアクセスする必要はありません。

最小権限の原則は、主体に対して割り当てられた作業タスクを実行するために必要な権限のみを付与することであり、職務や職位を元にアクセス権が定義されるものであり、知る必要性のように日々のタスクを元に決められるものではありません。最小権限の原則では、情報そのものが侵害されるリスクに着目しています。知る必要性では、信頼のある人であっても情報を不必要に共有することへのリスクに着目しています。