Zakres powinien być wystarczająco wąski dla zadania i trwać nie dłużej niż wymagane. Dotyczy zarówno codziennych kont, jak i administratorów, aplikacji, automatyzacji i tożsamości maszynowych.
Wdrożenie zasady wymaga więcej niż jednorazowego przypisania ról. Organizacje muszą rozumieć rzeczywiste funkcje służbowe i systemowe, oddzielać aktywność uprzywilejowaną od rutynowej, usuwać nieużywane prawa, przeglądać odziedziczone i łączone uprawnienia oraz tworzyć kontrolowane ścieżki dla dostępu wyjątkowego. Dostęp powinien się zmieniać, gdy zmieniają się odpowiedzialności, systemy lub ryzyka.
Najważniejsze punkty
Wymiary zakresuKtóre zasoby, działania, dane, środowiska, tożsamości, lokalizacje i okresy czasu są autoryzowane.
Praktyczne kontroleSzczegółowe role, osobne konta administracyjne, zatwierdzanie elewacji, przeglądy dostępu, właścicielstwo kont serwisowych i szybkie usuwanie przestarzałych uprawnień.
WeryfikacjaTestuj efektywne uprawnienia, zamiast polegać wyłącznie na nazwach ról czy intencji polityki, i monitoruj, jak możliwości uprzywilejowane są faktycznie używane.
Istotne ograniczenieWąsko nazwana rola może nadal być nadmiernie uprawniona przez dziedziczenie, zagnieżdżanie grup, kombinacje uprawnień lub słabe kontrole downstream. Zasada minimalnych uprawnień to stan wymagający ciągłej weryfikacji.