リスクベースとは
アクセス制御において、セキュリティ上のリスクを評価し、そのリスクに基づいてアクセス許可を与えるかどうかを判断するアクセス制御の手法である。リスクベースのアクセス制御では、個々のユーザーやアイデンティティ、デバイス、リソースなどに対するリスクを考慮した上で、アクセス許可を与えるかどうかを判断するため、より精度の高いアクセス制御が可能になる。
（参考：アクセス制御/用語集）
リスクベースのアクセス制御の特徴
精度の高いアクセス制御
リスクベースのアクセス制御では、セキュリティ上のリスクを評価することによって、より精度の高いアクセス制御を行うことができる。
従来のアクセス制御では、アクセス許可を与えるかどうかがユーザーの役割やグループに基づいて判断されることが多かったため、細かい粒度でのアクセス制御が難しかったことがある。
しかし、リスクベースのアクセス制御では、個々のユーザーやアイデンティティ、デバイス、リソースなどに対するリスクを評価することによって、より細かい粒度でのアクセス制御が可能になる。
リアルタイムのリスク評価
リスクベースのアクセス制御では、アクセス許可を与える前にリスクを評価するため、リアルタイムにリスク評価が行われる。例えば、ユーザーが新しいデバイスからアクセスしようとした場合には、そのデバイスに対するリスクを評価し、アクセス許可を与えるかどうかを判断することができる。
組織の特性に合わせたカスタマイズ
リスクベースのアクセス制御では、組織の特性に合わせてカスタマイズすることができる。例えば、金融機関では、高額の取引を行う場合には、より高度なリスク評価が必要となる。
そのため、金融機関では、従来のアクセス制御に加えて、リスクベースのアクセス制御を導入することで、より適切なアクセス制御を実現することができる。
ユーザーの利便性の向上
リスクベースのアクセス制御では、アクセス許可を与えるかどうかをユーザーのリスクに基づいて判断するため、従来のアクセス制御よりも柔軟なアクセス制御が可能になる。
これにより、セキュリティを強化しつつ、ユーザーの利便性を向上することができる。
リスクの可視化
リスクベースのアクセス制御では、リスクの評価結果を可視化することができる。例えば、ユーザーがアクセスしようとしたリソースに対するリスク評価結果を、グラフやダッシュボードなどで表示することができる。
これにより、セキュリティ上のリスクをリアルタイムに把握することができる。
以上のように、リスクベースのアクセス制御は、従来のアクセス制御よりも柔軟で精度の高いアクセス制御が可能になる。ただし、リスクベースのアクセス制御を実施するにあたっては、リスク評価のための情報収集や分析のための技術やツールが必要となるため、導入にはコストがかかることがある。また、リスクベースのアクセス制御は、リスクの評価結果に基づいてアクセス許可を与えるため、セキュリティ上のリスクを正確に評価することが重要である。