Q.216システムの技術対策

「最小権限の原則」とは何ですか?システムでどう実践しますか?

公開日  運営:サイバー攻撃・情報漏洩の疑問100運営事務局

最小権限の原則は、人やプログラムに、仕事に必要な最小限の権限だけを、必要な期間だけ与える考え方です。アカウントが乗っ取られても、そのアカウントでできることが少なければ被害は小さくなります。

権限が大きいほど被害も大きい権限が大きい乗っ取られると全部のデータ・設定が危険最小権限乗っ取られても被害はその範囲だけ
権限が大きいほど被害も大きい

実践の例

場面実践
端末社員を管理者権限なしで使わせる。ソフトの導入は申請制
サーバー管理者アカウントを人ごとに分け、普段使いと分離(管理者権限)
クラウド全権限を持つアカウントを使わず、役割ごとの権限。使っていない権限の棚卸し
サービスアカウント連携に必要な権限だけ。キーの定期的な更新(APIキー)
一時的な権限必要なときだけ申請・承認で付与し、自動で取り消す

出典:NIST SP 800-207「Zero Trust Architecture」、内閣サイバーセキュリティセンター

↑