Idとパスワードの決定的な違いとは？名札と鍵の例えで分かる安全管理術
情報システムの世界では、IDとパスワードの処理を語る上で欠かせない認証と認可の違いという重要概念が存在します。IT企業の研修資料やセキュリティ監査でも真っ先に叩き込まれる基礎理論ですが、一般ユーザーの間では混同されがちです。
まず、認証（Authentication）とは、「通信相手が誰であるかを確認・特定するプロセス」を指します。ログイン画面にIDとパスワードを入力し、あるいはスマートフォンの指紋センサーに触れて「私は登録済みの佐藤です」と認めさせる行為そのものが認証です。
一方、認可（Authorization）とは、「特定された人物に対して、システム内で特定の行動やデータへのアクセス権を与えるプロセス」を意味します。例えば、ある会社の社員ポータルにログインできた（認証の成功）としても、一般社員は「役員会の議事録フォルダー」を閲覧できません。これは、佐藤さんであることは確認されたものの、役員会議事録を開く権限が「認可されていない」状態です。
GoogleアカウントやApple IDを使った「他社サービスへのソーシャルログイン（OAuth連携）」で、「このアプリにプロフィールの閲覧を許可しますか？」と確認画面が表示されるのは、まさにこの認可の委託を行っている瞬間に他なりません。IDとパスワードでアカウントを保護する行為は、セキュリティ全体の「認証」という玄関口を固める作業であり、ここを突破されれば、あなたに与えられているあらゆる認可（注文、送金、データ消去など）が悪意ある第三者の手に渡ってしまいます。
