Minst möjliga behörighet innebär att ge användarna endast den åtkomst de behöver för att utföra sina jobb. Inget mer. En marknadskoordinator behöver redigera kampanjfiler. Hon behöver inte domänadministratörsrättigheter. En databasanalytiker behöver läsa produktionsdata. Hen behöver inte ändra schemat. Principen låter självklar. De flesta organisationer bryter mot den ständigt. Behörigheter ackumuleras över tid. Människor byter roller och gammal åtkomst finns kvar. Tillfälliga beviljanden blir permanenta. Resultatet är ett nätverk där alla kan nå allt.

Att implementera lägsta behörighet kräver arbete. Du måste veta vad varje roll faktiskt kräver. Det innebär att inventera system, kartlägga arbetsflöden och regelbundet granska åtkomsten. Det innebär att ta bort lokala administratörsrättigheter från vardagliga konton, en förändring som genererar klagomål tills folk anpassar sig. Det innebär att använda verktyg för hantering av privilegierad åtkomst för att kontrollera och granska administrativa konton. Utdelningen är betydande. Om en angripare komprometterar ett konto med låg behörighet kan de inte röra sig fritt. De måste eskalera, vilket tar tid och genererar buller. Target-intrånget 2013 började med inloggningsuppgifter från en HVAC-leverantör. Den leverantören hade nätverksåtkomst som den inte behövde. Minsta behörighet skulle ha begränsat skadan. Det är ingen mirakellösning. Det är en grundläggande kontroll som alltför många organisationer hoppar över.

Minst privilegier i praktiken

• Rollbaserad åtkomst — behörigheter kopplade till jobbfunktion
• Just-in-time-åtkomst — tillfällig upphöjning med godkännande
• Hantering av privilegierad åtkomst — kontrollera och granska administratörskonton
• Regelbundna granskningar — ta bort åtkomst när roller ändras

Minst möjliga privilegier är obekvämt. Det är den olägenheten som är poängen. Det saktar ner angripare och gör deras aktivitet synlig.