機密ファイルへのアクセスを許可された従業員のみに許可するアクセス制御ソフトウェアは、予防的制御策である。
その目的は、承認されたアクセス規則を適用することにより、不正アクセスが発生する前に阻止することです。ISO/IECでは
27002、アクセス制御は、ポリシー、ID管理、認証、認可、アクセス権限レビュー、特権アクセス制御、および情報アクセス制限を通じて実装されます。この種のソフトウェアは、機密データの不正開示、不正改ざん、悪用、プライバシーまたは契約上の義務違反を防止できます。これは、単に発生した事象を発見するだけでなく、主に検出機能を持つソフトウェアではありません。また、破損した情報を復元したり、インシデントの影響を元に戻したりするものではないため、是正機能を持つソフトウェアでもありません。そのセキュリティ上の価値は、認可基準を満たさないアクセス試行をブロックすることにあります。
制御の背後にある原則は最小権限です。つまり、ユーザーは自分の役割と責任に必要なアクセス権のみを与えられるべきです。機密性の高いファイルの場合、機密性、完全性、説明責任は適切な認証に依存するため、これは特に重要です。参照/章: ISO/IEC 27002:2022、制御5.15 アクセス制御、制御5.16 ID管理、制御5.18 アクセス権、制御8.3 情報アクセス制限。