Princíp najmenších oprávnení

Čo to znamená

Princíp najmenších oprávnení je bezpečnostná zásada, podľa ktorej má každý používateľ, aplikácia či systém len tie prístupy, ktoré nevyhnutne potrebuje na svoju prácu, a len na nevyhnutný čas. Obmedzuje škody, ktoré môže spôsobiť napadnutý účet, chyba zamestnanca alebo zneužitie zo strany insidera.

Je základom riadenia prístupov a prístupu zero trust. Namiesto toho, aby mal každý prístup ku všetkému pre istotu, prístupy sa prideľujú podľa roly a úloh. Účtovníčka vidí účtovníctvo, nie personálne spisy; obchodník vidí svojich zákazníkov, nie celú databázu.

Zásada sa vzťahuje aj na technické účty a aplikácie. Integrácia, ktorá má len čítať faktúry, nemá mať právo ich mazať, a skript na zálohovanie nemá mať administrátorský prístup k celému serveru. Privilegované účty sa riešia v režime správy privilegovaného prístupu.

Ako to funguje v praxi

Zavedenie začína mapovaním: kto má aké prístupy a prečo. Potom sa definujú roly s potrebnými oprávneniami a ľudia sa do nich zaradia. Výnimky sa schvaľujú a časovo obmedzia, aby sa z dočasného prístupu nestal trvalý.

Dôležité sú procesy pri nástupe, zmene pozície a odchode zamestnanca. Pri zmene roly sa staré prístupy odoberajú, nielen pridávajú nové; inak sa časom nahromadí stav, keď dlhoročný zamestnanec vidí všetko. Pri odchode sa prístupy rušia v ten istý deň.

Pravidelná revízia, napríklad raz za štvrťrok, overí, či prístupy stále zodpovedajú potrebám. Spolu so segmentáciou siete a politikou hesiel tvorí princíp najmenších oprávnení jadro bežnej kybernetickej hygieny aj požiadaviek NIS2.

Na čo si dať pozor

Príliš reštriktívne nastavenie brzdí prácu a vedie k obchádzaniu, napríklad zdieľaniu hesiel kolegom. Zásada nemá ľuďom brániť robiť ich prácu, ale obmedziť to, čo s ňou nesúvisí; proces na získanie potrebného prístupu musí byť rýchly.

Najčastejším zlyhaním je kumulácia práv. Stážista, ktorý dostal široký prístup, aby si nemusel o nič pýtať, alebo zamestnanec, ktorý prešiel tromi oddeleniami a má prístupy zo všetkých, sú typickými slabými miestami pri útoku aj audite.