資安中其中一個最重要的概念是最少權限的原則，到底它是甚麼，是如何運作，而這種原則又怎樣能夠令公司受益，以及要如何在現實世界中執行最少權限原則，以下將會逐一詳述。
最少權限原則的運作
最少權限原則(principle of least privilege, PoLP)又稱為principle of minimal privilege (PoMP)，也有少數人稱為principle of least authourity (PoLA)，其要旨是存取系統資源的原則是只有工作需要人士，現實中可能會涉不同系統和不同人士，每論哪一方，在企業保安中採取最少權限原則，都可以形容為任何在公司資訊架構內的人士，應該在他們有工作需要的指件下，才能擁有存取該資料的權限。
假如為了完成某工作，一位用戶需要存取現時沒有的資料，可以提升其權限，而此舉可以是永久，但如果有用戶的身份需要或只屬暫時性，只需要完成特定工作的話，提升權限也應該有特定期限，當用戶無需存取特定資訊時，根據最少權限原則便應該調低他們的權限。尤其普通的用戶永遠不應該獲得管理員或超級用戶權限，不但因為他們日常工作無需有關特權，也因為此舉會明顯增加風險。
需要最少權限原則的原因
最少權限原則有助改善存取管理，鞏固公司的資安架構，以下是採用最少權限原則後能獲得的重要保安成果：
- 降低風險 – 透過限制存取以減低意外或刻意誤用權限的機會，有助降低成功滲透和未經存取公司資源的風險。
- 數據保護 – 限制存取也能保護機密數據，只有工作需要的用戶能存取資料，藉此降低存取敏感資、外洩或盜竊的機會。
- 減少攻擊面 – 限制用戶權限令攻擊者更困難去使用安全漏洞，以及利用倚靠用戶權限的惡意程式和入侵工具，即是減少攻擊面。
- 在地化保安事故 – 如果公司的網絡遭入侵，最少權限原則有助限制事故的範圍和結果，因為最少權限能降低潛在傷害，以及在入侵系統或網絡內橫向移動。
- 識別事故的使用者責任 – 最少化權限能顯著把事故該負責任的用戶收窄，加速調查保安事故或未受權活動的速度。
- 遵守標準和法規 – 很多法規和標準都需要控制存取，尤其最少權限原則，遵守行業標準和最佳實踐有助機構避免不愉快的後果和制裁。
- 提高營運效果 – 採用最少權限原則降低公司資訊架構的風險，變相減少因為資安事故而產生的停機時間，增加公司運作效率。
如何部署最少權限原則
在公司的資訊架構內部署最少權限原則，可以分為以下基本部驟：
- 進行資源盤點，審核現時使用者擁有的存取權限。
- 對資源進行分類，並根據角色建立存取管理模型。
- 首先為使用者指派最少權限，只在工作需要時提升他們的權限。
- 定期審核和審查權限，降低不需存取某些資源用戶的權限。
- 如果用戶因為一件工作需要存取大量資源，提升權限便應該以暫時性則。
不要忘記其他保護考量
如果單純靠最少權限原則，當然不足以保護公司的資訊架構，其他考量包括：
- 行常的保安審計
- 定期軟件更新
- 為員工提供基本的資安培訓
- 在所有公司裝置上安裝可靠防護
資料來源：Kaspersky Blog
