En az ayrıcalık ilkesi, kullanıcılara yalnızca işlerini yapmaları için ihtiyaç duydukları erişimi vermek anlamına gelir. Daha fazlası değil. Bir pazarlama koordinatörünün kampanya dosyalarını düzenlemesi gerekir. Alan yöneticisi haklarına ihtiyacı yoktur. Bir veritabanı analistinin üretim verilerini okuması gerekir. Şemayı değiştirmesine gerek yoktur. İlke açık görünüyor. Çoğu kuruluş bunu sürekli ihlal ediyor. İzinler zamanla birikiyor. İnsanlar rollerini değiştiriyor ve eski erişimler kalıyor. Geçici izinler kalıcı hale geliyor. Sonuç, herkesin her şeye erişebildiği bir ağ oluyor.

En düşük ayrıcalık ilkesini uygulamak emek gerektirir. Her rolün gerçekte ne gerektirdiğini bilmeniz gerekir. Bu, sistemlerin envanterini çıkarmayı, iş akışlarını haritalamayı ve erişimi düzenli olarak gözden geçirmeyi gerektirir. Günlük hesaplardan yerel yönetici haklarını kaldırmak anlamına gelir; bu değişiklik, insanlar alışana kadar şikayetlere yol açar. Ayrıcalıklı erişim yönetimi araçlarını kullanarak yönetici hesaplarını kontrol etmek ve denetlemek anlamına gelir. Getirisi önemlidir. Bir saldırgan düşük ayrıcalıklı bir hesabı ele geçirirse, serbestçe hareket edemez. Daha üst seviyeye çıkmak zorunda kalır, bu da zaman alır ve gürültü yaratır. 2013 Target ihlali, bir HVAC satıcısının kimlik bilgileriyle başladı. Bu satıcının ihtiyaç duymadığı ağ erişimi vardı. En düşük ayrıcalık ilkesi hasarı sınırlayabilirdi. Bu sihirli bir çözüm değil. Çok fazla kuruluşun atladığı temel bir kontrol mekanizmasıdır.

Pratikte en az ayrıcalık

• Rol tabanlı erişim — yetkiler işlevle ilişkilendirilir.
• Tam zamanında erişim — onay alınarak geçici yükseltme
• Ayrıcalıklı erişim yönetimi — yönetici hesaplarının kontrolü ve denetimi
• Düzenli incelemeler — roller değiştiğinde erişimi kaldırın

En az ayrıcalık ilkesi rahatsız edicidir. Bu rahatsızlık zaten meselenin özüdür. Saldırganları yavaşlatır ve faaliyetlerini görünür kılar.