Minste privilegier betyr å bare gi brukerne den tilgangen de trenger for å gjøre jobben sin. Ikke noe mer. En markedsføringskoordinator trenger å redigere kampanjefiler. Hun trenger ikke domeneadministratorrettigheter. En databaseanalytiker trenger å lese produksjonsdata. Han trenger ikke å endre skjemaet. Prinsippet høres opplagt ut. De fleste organisasjoner bryter det stadig. Tillatelser akkumuleres over tid. Folk bytter roller, og gammel tilgang forblir. Midlertidige tildelinger blir permanente. Resultatet er et nettverk der alle kan nå alt.

Implementering av «minst mulig privilegier» krever arbeid. Du må vite hva hver rolle faktisk krever. Det betyr å inventarisere systemer, kartlegge arbeidsflyter og gjennomgå tilgang regelmessig. Det betyr å fjerne lokale administratorrettigheter fra vanlige kontoer, en endring som genererer klager inntil folk tilpasser seg. Det betyr å bruke verktøy for administrasjon av privilegert tilgang for å kontrollere og revidere administratorkontoer. Gevinsten er betydelig. Hvis en angriper kompromitterer en konto med lavt privilegium, kan de ikke bevege seg fritt. De må eskalere, noe som tar tid og genererer støy. Target-bruddet i 2013 startet med påloggingsinformasjon fra en HVAC-leverandør. Den leverandøren hadde nettverkstilgang den ikke trengte. «Minst mulig privilegier» ville ha begrenset skaden. Det er ikke en mirror-løsning. Det er en grunnleggende kontroll som altfor mange organisasjoner hopper over.

Minst privilegium i praksis

• Rollebasert tilgang – tillatelser knyttet til jobbfunksjon
• Just-in-time-tilgang – midlertidig høyde med godkjenning
• Administrasjon av privilegert tilgang – kontroll og revisjon av administratorkontoer
• Regelmessige gjennomganger – fjern tilgang når roller endres

Minst mulig privilegium er ubeleilig. Det er denne ulempen som er poenget. Det bremser angripere og gjør aktiviteten deres synlig.