知る必要性、最小限の特権、機密性の違い
CISSPのために勉強しています。最小限の特権、知る必要、機密性はすべて同じものですか？
私の本では、「機密性は最小特権の原則と呼ばれることもある」と書かれており、括弧内のインデックスにも記載されています（知る必要があります）。
知っておく必要があると主張するこのサイトは、最小特権の拡張であることがわかりました http://simplicable.com/new/principle-of-least-privilege
そして私は この練習問題 を見つけました
最小特権と知っておくべきことの違いは何ですか？
与えられた答えは
ユーザーには、特定のリソースにアクセスするための知識が必要です。最小限の特権を実装して、彼女が知る必要のあるリソースにのみアクセスできるようにする必要があります。
推論には従いませんが。
見方によっては、同じものの色合いです。同じ用語が他のものにも使用されると、混乱が生じます。
「最小限の特権」の原則は、必要なものだけにアクセスでき、それ以上はアクセスできないことを示しています。このアイデアを「データの機密性」に拡張すると、「知る必要がある」という結果になります。
言い換えると、データの機密性を維持するには、そのデータにアクセスする必要のある人だけがアクセスできるようにし、他の誰もアクセスできないようにする必要があります。繰り返しますが、これは「知る必要がある」と「最小限の特権」の形式です。
3つのアイデアが同じであるとは言いませんが、「機密性」を実現するには、「最低限の特権」を使用する必要があり、ひいては「知る必要がある」ことになります。
ところで、あなたが持っている引用は、「最低限の特権」の適用を、それが有効である「知る必要がある」以外の独自のアイデアとして扱っています。最小限の特権は、データの機密性だけでなく、アクセスと機能にも適用できます。
ジェームズ・ボンドに「秘密の」許可があるとしましょう。それが彼の特権です。彼には「トップシークレット」があるべきでしょうか。いいえ。さまざまな理由により、ジェームズボンドであるにも関わらず、彼には必要な最小限の特権があります。「極秘」のことを知る必要がないため、彼の（最小）特権レベルは「秘密」に設定されています。
さて、ボンドがジャマイカで悪と戦っているとしましょう。彼は「知る必要がある」ので、ジャマイカについてかなり知っています。彼はまたキューバについての「秘密の」情報を知るようになりますか？いいえ、現時点では、彼はそれを知る必要はありません。
ちなみに、彼の「殺害ライセンス」とは？これは機能に関するものであり、したがって、たとえばファイルへの書き込みアクセス権を取得するようなものです。したがって、特定の場所でそれを悪用する "必要性"ではなく、彼の特権のより多くの側面。実際、ジャマイカに関する任務中にジェームズがキューバで誰かを撃った場合、ジェームズがキューバの殺害が本質的に彼のジャマイカの仕事に関する「必要性」にあることを証明できない限り、Mはおそらくかなり腹を立てるでしょう。
知る必要があるとは、ユーザーが何かにアクセスする正当な理由があることを意味します。次に、最小限の特権を実装して、そのアクセスを制限し、ユーザーがその何かを使用して実行できることを制限します。たとえば、ユーザーがユーザーデータにアクセスする（「知る必要がある」）ビジネス上の必要があると判断された後、「最小権限」の質問は、そのユーザーデータへのアクセスの種類を指定することになります。読み取り専用？更新？削除しますか？ユーザーに必要な最小限の権限を与えて、必要な作業を完了させます。
最小限の特権は論理的な制御であり、知っておく必要があるのは管理上の制御であると言ってみようと思います。