最小権限の原則は、人やプログラムに、仕事に必要な最小限の権限だけを、必要な期間だけ与える考え方です。アカウントが乗っ取られても、そのアカウントでできることが少なければ被害は小さくなります。
実践の例
| 場面 | 実践 |
|---|---|
| 端末 | 社員を管理者権限なしで使わせる。ソフトの導入は申請制 |
| サーバー | 管理者アカウントを人ごとに分け、普段使いと分離(管理者権限) |
| クラウド | 全権限を持つアカウントを使わず、役割ごとの権限。使っていない権限の棚卸し |
| サービスアカウント | 連携に必要な権限だけ。キーの定期的な更新(APIキー) |
| 一時的な権限 | 必要なときだけ申請・承認で付与し、自動で取り消す |
出典:NIST SP 800-207「Zero Trust Architecture」、内閣サイバーセキュリティセンター