認証と認可

comp

メモ書きです。
帰宅中の電車の中で考えていたものをまとめてみます。
認証とその信用度に関して体系的な資料ってどこかにないですかね。

認証方式

認証方式にはベーシック認証などの信用度の低いものからSecurIDやバイオメトリックス認証のような信用度の高いものまで様々なものがあります。
金さえあれば信用度の高いものを導入すればよいのですが、現実問題として費用削減のため全面的に導入することは難しいです。そうなると折衷案として信用度の低いものと高いものを組み合わせることになります。秘匿性が低い情報に対するアクセスはベーシック認証でも認可し、秘匿性が高い情報に対してはSecurIDを使った場合だけ認可するといった使い分けも考えられます。この場合は秘匿性が高い情報にアクセスする必要がある人だけSecurIDを使えばよいのです。

送信元の場所

組織内のLANからアクセスしてきたものとRAS/インターネットVPN経由でアクセスしてきたものではアクセス元の信用度はやはり異なるでしょう。情報流出事件では内部犯行が多いとはいえ、RAS/インターネットVPN経由では組織外の人の可能性もあるので。
さらに、人の属性としての所属場所と送信元の場所が一致しない場合があります。このときは出張先や出先からのアクセスも考えられますが、信用度を少し落とした方が安全でしょう。

認可

通常は認証された人の属性（所属や職制・役職）に応じて各情報に対して認可を行います。これに加えて先ほどの信用度というパラメータを考慮して認可を行うと精度の高い認可ができるのではないかと考えてみたわけです。

以上、思いつきで書いてみたので後でじっくりと考え直してみます。