Принцип найменших привілеїв

Що це означає

Принцип найменших привілеїв - правило безпеки, за яким кожен користувач, застосунок чи система мають лише ті права, що суворо необхідні для роботи, і лише на потрібний час. Він обмежує шкоду від зламаного облікового запису, помилки працівника чи зловживання інсайдера.

Це основа управління доступом і підходу zero trust. Замість того щоб про всяк випадок давати всім доступ до всього, права надають за роллю та завданнями. Бухгалтер бачить бухгалтерію, а не особові справи; продавець - своїх клієнтів, а не всю базу.

Принцип стосується й технічних облікових записів і застосунків. Інтеграція, що має лише читати рахунки, не повинна мати права їх видаляти, а скрипт резервного копіювання - адміністративного доступу до всього сервера. Привілейовані облікові записи ведуть у режимі управління привілейованим доступом.

Як це працює на практиці

Впровадження починається з інвентаризації: хто які права має й навіщо. Потім визначають ролі з потрібними правами й розподіляють за ними людей. Винятки погоджують і обмежують у часі, щоб тимчасовий доступ не став постійним.

Важливі процеси під час прийняття, зміни посади та звільнення. У разі зміни ролі старі права відкликають, а не лише додають нові; інакше з часом накопичується ситуація, коли давній працівник бачить усе. Під час звільнення доступи закривають того самого дня.

Регулярний перегляд, наприклад раз на квартал, перевіряє, чи відповідають права поточним потребам. Разом із сегментацією мережі та політикою паролів принцип найменших привілеїв утворює ядро базової кібергігієни та вимог NIS2.

На що звернути увагу

Надто жорсткі налаштування гальмують роботу й ведуть до обходу, наприклад передачі паролів колегам. Принцип не має заважати людям робити свою роботу, він обмежує те, що з нею не пов'язане; процес отримання потрібного доступу має бути швидким.

Найчастіший збій - накопичення прав. Стажист, що отримав широкий доступ, аби ні про що не просити, чи працівник, який пройшов три відділи й зберіг доступи всіх, - типові слабкі місця і під час атаки, і під час аудиту.