Toegang met de minste bevoegdheden is het principe van het beperken van de toegang van werknemers tot alleen de accounts, documenten en gegevens die ze nodig hebben om hun werk goed te doen. Door werknemers toegang te geven tot accounts op hoog niveau die ze niet hoeven in te voeren, hetzij opzettelijk of per ongeluk, kunnen bedrijven een spervuur van problemen veroorzaken, waaronder beroepsfraude. Het implementeren van een least privilege-strategie dwingt een bedrijf zich meer bewust te zijn van de specifieke taakdetails en behoeften van elke werknemer: tot welke accounts en bestanden heeft deze persoon dagelijks toegang? Strategieën met de minste rechten helpen bedrijven om met grotere voorzichtigheid en focus te beheren wie toegang heeft tot gevoelige informatie.
Werknemers die niet voldoende beveiligingstraining hebben genoten, zijn vatbaar voor social engineering-tactieken zoals e-mailphishing. Als ze toegang hebben tot financiën, zouden ze dat niet moeten doen, dan zou een aanvaller hen kunnen misleiden om bedrijfsmiddelen of inloggegevens te sturen, wat het bedrijf duizenden of miljoenen dollars kost. Kleine beveiligingsfouten kunnen tot een schat aan problemen leiden. Door de toegang tot applicaties en financiën te beperken, kan de kans op een dergelijke inbreuk kleiner worden.
Beheer van bevoorrechte toegang
Veel grote datalekken waar bedrijven mee te maken hebben, zijn afkomstig van accounts met geprivilegieerde toegang, of accounts op hoog niveau waartoe systeembeheerders en leidinggevenden toegang hebben. Privileged Access Management (PAM) gaat dit tegen door de accountprivileges van werknemers binnen een organisatie aanzienlijk te verminderen. Gevoelige informatie zoals wachtwoorden, databases en coderingssleutels zijn slechts enkele voorbeelden van bedrijfsgegevens die PAM moet beperken. Accounts die mogelijk moeten worden beperkt, zijn onder meer domeinbeheeraccounts, waarmee gebruikers andere gebruikers binnen bedrijfssystemen kunnen toevoegen en bewerken, en applicatieaccounts, waarmee gebruikers wijzigingen kunnen aanbrengen in bedrijfstoepassingen en -software.
Sommige bestuursorganen leggen bedrijven zelfs de minste privilege-regels op, wetende dat datalekken een enorme aansprakelijkheid vormen. Bedrijven kunnen worden gedwongen om te voldoen aan bepaalde vereisten voor toegang tot privileges als ze niet zelf PAM-strategieën implementeren.
Geen vertrouwen
Een zero trust-architectuur is niet precies hetzelfde als toegang met de minste privileges: het gebruikt het principe van de minste privileges als slechts een van de functies. Zero trust-architectuur vereist strikte authenticatie, zelfs voor accounts en netwerken waartoe gebruikers toegang hebben. Zero trust vraagt gebruikers om hun inloggegevens te verifiëren voor elk account, elke applicatie of elk netwerk dat ze willen invoeren.
Zowel de principes van het minst privilege als het nul vertrouwen proberen de manieren te beperken waarop aanvallers toegang kunnen krijgen tot gevoelige gegevens. Omdat werkruimten gedwongen worden om strengere beveiligingsmaatregelen te nemen, kunnen een van beide of beide nodig zijn om minimaal te voldoen aan de voorschriften voor gegevensbescherming.