Need-to-Know(必要に応じた知る権利).

業務上の必要があると認められた人だけに情報を開示する原則。たとえ適切な機密区分の許可を持っていても適用される。 サイバーセキュリティの コンプライアンスとフレームワーク カテゴリに属します。

業務上の必要があると認められた人だけに情報を開示する原則。たとえ適切な機密区分の許可を持っていても適用される。

Need-to-Know は最小権限の原則に「テーマ別フィルター」を加えるものです。Secret のクリアランスを持つだけでは Secret 文書すべてを閲覧できず、その特定情報を知るべき業務上の理由が文書化されている必要があります。軍と情報機関の運用に起源があり、ISO/IEC 27002、NIST SP 800-53、HIPAA、GDPR などで要求されます。実装はデータ分類、RBAC/ABAC、Just-in-Time アクセス、マスキング、機微情報を誰が何の理由で参照したかを監査するログ運用などで行います。

Need-to-Know(必要に応じた知る権利) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。