A legkevesebb jogosultság azt jelenti, hogy a felhasználóknak csak a munkájuk elvégzéséhez szükséges hozzáférést adjuk meg. Semmi több. Egy marketingkoordinátornak szerkesztenie kell a kampányfájlokat. Nincs szüksége tartományi rendszergazdai jogokra. Egy adatbázis-elemzőnek éles adatokat kell olvasnia. Nem kell módosítania a sémát. Az elv nyilvánvalónak tűnik. A legtöbb szervezet folyamatosan megsérti. Az engedélyek idővel felhalmozódnak. Az emberek szerepköröket váltanak, és a régi hozzáférések megmaradnak. Az ideiglenes engedélyek állandóvá válnak. Az eredmény egy olyan hálózat, ahol mindenki mindent elérhet.

A minimális jogosultságok bevezetése munkát igényel. Tudni kell, hogy az egyes szerepkörök valójában mit igényelnek. Ez a rendszerek leltározását, a munkafolyamatok feltérképezését és a hozzáférések rendszeres felülvizsgálatát jelenti. Ez azt jelenti, hogy a mindennapi fiókokból el kell távolítani a helyi rendszergazdai jogokat, ami panaszokat generál, amíg az emberek nem alkalmazkodnak. Ez azt jelenti, hogy privilegizált hozzáférés-kezelő eszközöket kell használni a rendszergazdai fiókok ellenőrzésére és auditálására. A jutalom jelentős. Ha egy támadó feltör egy alacsony jogosultságú fiókot, nem mozoghat szabadon. Eszkalálnia kell az ügyet, ami időigényes és zajt generál. A 2013-as Target-támadás egy HVAC-szállítótól származó hitelesítő adatokkal kezdődött. Ez a szállító olyan hálózati hozzáféréssel rendelkezett, amire nem volt szüksége. A minimális jogosultságok korlátozták volna a károkat. Ez nem csodaszer. Ez egy alapvető kontroll, amelyet túl sok szervezet kihagy.

Legkisebb privilégium a gyakorlatban

• Szerepköralapú hozzáférés – a munkakörhöz kötött jogosultságok
• Just-in-time hozzáférés – ideiglenes jogosultságemelést engedélyeztetéssel
• Kiemelt hozzáférés-kezelés – rendszergazdai fiókok vezérlése és auditálása
• Rendszeres felülvizsgálatok – hozzáférés visszavonása a szerepkörök változása esetén

A legkevesebb jogosultság kényelmetlen. Ez a kényelmetlenség a lényeg. Lassítja a támadókat, és láthatóvá teszi tevékenységüket.