Mindst mulige rettigheder betyder kun at give brugerne den adgang, de har brug for til at udføre deres arbejde. Intet mere. En marketingkoordinator skal redigere kampagnefiler. Hun behøver ikke domæneadministratorrettigheder. En databaseanalytiker skal læse produktionsdata. Han behøver ikke at ændre skemaet. Princippet lyder indlysende. De fleste organisationer overtræder det konstant. Tilladelser akkumuleres over tid. Folk skifter rolle, og gammel adgang forbliver. Midlertidige tilladelser bliver permanente. Resultatet er et netværk, hvor alle kan nå alt.

Implementering af "mindst privilegier" kræver arbejde. Du skal vide, hvad hver rolle rent faktisk kræver. Det betyder at lave en opgørelse over systemer, kortlægge arbejdsgange og regelmæssigt gennemgå adgang. Det betyder at fjerne lokale administratorrettigheder fra hverdagskonti, en ændring, der genererer klager, indtil folk vænner sig. Det betyder at bruge værktøjer til styring af privilegeret adgang til at kontrollere og revidere administrative konti. Gevinsten er betydelig. Hvis en angriber kompromitterer en konto med lavt privilegium, kan de ikke bevæge sig frit. De er nødt til at eskalere, hvilket tager tid og genererer støj. Target-bruddet i 2013 startede med legitimationsoplysninger fra en HVAC-leverandør. Denne leverandør havde netværksadgang, som de ikke havde brug for. "Mindst privilegier" ville have begrænset skaden. Det er ikke en mirror bullet. Det er en grundlæggende kontrol, som alt for mange organisationer springer over.

Mindst privilegium i praksis

• Rollebaseret adgang — tilladelser knyttet til jobfunktion
• Just-in-time-adgang — midlertidig elevation med godkendelse
• Administration af privilegeret adgang — kontrol og revision af administratorkonti
• Regelmæssige gennemgange — fjern adgang, når roller ændres

Mindst mulig privilegium er ubelejligt. Det er den ulejlighed, der er pointen. Det sinker angribere og gør deres aktivitet synlig.