ネットワーク・暗号・認証等のセキュリティ対策技術
情報システムにおける「認証(Authentication)」と「認可(Authorization)」の違いに関する記述として、最も適切なものはどれか。
- A認証は利用者に付与された権限の範囲を決定する処理であり、認可は利用者がパスワードなどを提示して本人確認を受ける処理である。
- B認証と認可はいずれも同一のプロトコルで実現しなければならず、別々の仕組みとして実装することはできない。
- ✓認証は利用者が正当な本人であることを確認する処理であり、認可は認証された利用者に対してどの資源へのどのような操作を許可するかを決定する処理である。
- D認可が完了して初めて認証処理が開始される。
解説
認証は「利用者が誰であるか」を確認する処理であり、認可は「認証された利用者に何を許可するか」を決定する処理である。両者は明確に異なる概念であり、認証はID・パスワードやFIDOなど、認可はアクセス制御リストやロールベースアクセス制御などによって、別々の仕組みとして実装されるのが一般的である。
根拠シラバス「情報及び情報システムの利用におけるセキュリティ対策の適用に関する業務」認証・アクセス制御。