Rozsah by měl být dostatečně úzký pro úkol a neměl by trvat déle, než je nutné. Platí pro běžné účty stejně jako pro administrátory, aplikace, automatizaci a strojové identity.
Implementace principu vyžaduje víc než jednorázové přiřazení rolí. Organizace potřebují rozumět skutečným pracovním a systémovým funkcím, oddělovat privilegovanou činnost od rutinní, odebírat nepoužívaná práva, revidovat zděděná a kombinovaná oprávnění a vytvářet kontrolované cesty pro výjimečný přístup. Přístup by se měl měnit, když se mění odpovědnosti, systémy či rizika.
Klíčové body
Dimenze rozsahuKteré prostředky, akce, data, prostředí, identity, lokace a časová období jsou autorizovány.
Praktické kontrolyGranulární role, oddělené administrátorské účty, schvalování elevace, revize přístupu, vlastnictví servisních účtů a rychlé odstranění zastaralých oprávnění.
VerifikaceTestujte efektivní oprávnění, místo spoléhání pouze na názvy rolí či záměr politiky, a monitorujte, jak jsou privilegované schopnosti skutečně používány.
Důležité omezeníRole s úzkým názvem může být stále příliš silná skrze dědičnost, vnořování skupin, kombinace oprávnění či slabé downstream kontroly. Nejmenší oprávnění jsou průběžný stav, který je třeba verifikovat.