Wprowadź politykę „najmniejszych niezbędnych uprawnień” (least privilege).

Zasada najmniejszych niezbędnych uprawnień ogranicza dostęp każdego konta wyłącznie do zakresu koniecznego do jego zadań.

Zakres zasady najmniejszych niezbędnych uprawnień

Polityka najmniejszych niezbędnych uprawnień, określana po angielsku jako least privilege, polega na przyznaniu każdemu kontu, procesowi i urządzeniu tylko takich praw, jakie są wymagane do wykonania określonego zadania. Uprawnienie nie powinno wynikać wyłącznie z wygody użytkownika ani z faktu, że konto zostało utworzone jako administrator. Zakres dostępu ustala się na podstawie rzeczywistej funkcji konta: odczytu plików, zapisu danych, uruchamiania programu, instalowania oprogramowania albo zmiany konfiguracji.

Zasada obejmuje również konta techniczne, zadania automatyczne i aplikacje działające w tle. Program, który jedynie odczytuje dane, nie powinien mieć prawa ich usuwania. Konto służące do obsługi dokumentów nie powinno jednocześnie zmieniać ustawień systemowych. W praktyce ogranicza to skutki pomyłek, błędnej konfiguracji i przejęcia procesu, ponieważ uzyskany dostęp obejmuje mniejszą część systemu oraz mniejszy zakres danych.

Projektowanie kont, ról i uprawnień

Wdrożenie polityki zaczyna się od spisu kont oraz czynności wykonywanych przez ich właścicieli. Dla każdego konta warto określić właściciela, przeznaczenie, wymagane zasoby i operacje, a także sposób zatwierdzania dostępu. Następnie tworzy się role odpowiadające zadaniom, na przykład odczyt dokumentów, modyfikacja dokumentów albo administracja ustawieniami. Użytkownik otrzymuje rolę zamiast przypadkowego zestawu pojedynczych wyjątków.

Uprawnienia należy rozdzielać według operacji i zasobów. Prawo odczytu nie oznacza automatycznie prawa zapisu, usunięcia ani zmiany uprawnień. Dostęp do katalogu można ograniczyć do określonej ścieżki, a dostęp do aplikacji do wymaganych funkcji. Konto standardowe powinno służyć do codziennej pracy, natomiast konto administracyjne powinno być używane tylko podczas czynności wymagających podwyższonych praw. Jeżeli system obsługuje czasowe podnoszenie uprawnień, dostęp administracyjny powinien być przyznawany na czas konkretnego zadania i odbierany po jego zakończeniu.

Kontrola zmian i przegląd dostępu

Same reguły dostępu nie wystarczają, jeżeli nie są regularnie sprawdzane. Przegląd powinien obejmować konta aktywne, członkostwo w grupach, prawa do katalogów, udziałów sieciowych, aplikacji i urządzeń oraz konta, które nie były używane. Zmiana stanowiska, zakresu obowiązków albo zakończenie współpracy powinny powodować ponowną ocenę uprawnień. Nieaktywne konto należy wyłączyć zgodnie z przyjętą procedurą, a nie pozostawiać z dawnymi prawami.

Każda zmiana uprawnień powinna mieć uzasadnienie, osobę zatwierdzającą i możliwy do odtworzenia ślad w dzienniku zdarzeń. Warto rejestrować między innymi utworzenie konta, dodanie do grupy uprzywilejowanej, zmianę praw do zasobu oraz użycie uprawnień administracyjnych. Analiza logów pozwala wykryć nadmiarowe prawa, nieoczekiwane operacje i sytuacje, w których aplikacja korzysta z szerszego dostępu, niż przewidziano w projekcie. Przegląd powinien prowadzić do usunięcia zbędnych wyjątków, a nie tylko do sporządzenia samego raportu.

Ograniczanie skutków błędów i awarii

Najmniejsze uprawnienia zmniejszają zasięg nieprawidłowego działania, ale nie zastępują kopii zapasowych, aktualizacji, kontroli dostępu ani monitorowania. Jeżeli użytkownik omyłkowo uruchomi program zapisujący pliki, program będzie mógł zmienić tylko zasoby dostępne dla jego konta. Podobnie proces pozbawiony prawa modyfikacji konfiguracji systemu nie powinien móc samodzielnie zmienić ustawień wymagających uprawnień administracyjnych. Taki podział ogranicza potencjalne konsekwencje incydentu.

Podczas wdrażania polityki należy unikać odbierania praw bez sprawdzenia zależności aplikacji. Zbyt restrykcyjna reguła może uniemożliwić zapis konfiguracji, uruchomienie sterownika albo dostęp do pliku potrzebnego do pracy. Bezpieczny proces obejmuje test na koncie o ograniczonych prawach, analizę komunikatów błędów, stopniowe usuwanie wyjątków i dokumentowanie każdej zmiany. W przypadku problemu można wtedy wskazać konkretny zasób lub operację, zamiast przywracać wszystkim użytkownikom pełne uprawnienia.