Least privilege

Least privilege betyder, at brugere, administratorer, systemer og applikationer kun får den adgang, de har brug for til deres konkrete opgaver. Formålet er at begrænse unødvendige rettigheder og dermed reducere risikoen ved fejl, misbrug eller kompromitterede konti.

Hvorfor er begrebet vigtigt?

Least privilege er vigtigt, fordi for brede rettigheder kan gøre små fejl eller sikkerhedshændelser langt mere alvorlige. Hvis en konto kun har den nødvendige adgang, begrænses det, hvad der kan påvirkes, hvis kontoen bliver misbrugt.

For virksomheder er least privilege relevant ved administratorroller, brugerrettigheder, cloudsystemer, servere, SaaS-løsninger, servicekonti, onboarding, offboarding, compliance og løbende adgangskontrol.

Typisk misforståelse

Den mest almindelige fejl er at tro, at least privilege betyder, at medarbejdere skal have så lidt adgang som muligt. Målet er ikke at forhindre arbejdet, men at give præcis den adgang, der er nødvendig – og ikke mere.

Eksempel

En medarbejder skal kunne administrere brugere, men behøver ikke adgang til fakturering eller sikkerhedspolitikker. I stedet for en bred global administratorrolle får medarbejderen en mere begrænset rolle, der passer til opgaven.

Best practice

• Tildel adgang ud fra konkrete arbejdsopgaver og ansvar.

• Brug begrænsede roller frem for brede administratorroller.

• Gennemgå privilegerede rettigheder regelmæssigt.

• Fjern adgang, når medarbejdere skifter rolle eller stopper.

• Kombinér least privilege med MFA, RBAC og audit logs.