最小特権の原則（PoLP）は、ユーザーが職務を遂行するために必要な最小限のレベルのアクセス（または許可）をユーザーに与える情報セキュリティの概念です。
最小特権の原則は、サイバーセキュリティのベストプラクティスであると広く考えられており、価値の高いデータおよび資産への特権アクセスを保護するための基本的なステップです。
最小特権の原則は、人のアクセスだけに留まらず、必要なタスクを実行するために特権または許可が必要なアプリケーション、システム、または接続されたデバイスにも適用されます。最小特権の適用により、人以外のツールに必要最低限のアクセス権を確実に与えることができます。
効果的な最小特権を実施するには、特権認証情報を一元管理して保護する方法とともに、サイバーセキュリティおよびコンプライアンス要件と運用およびエンドユーザーのニーズのバランスを取ることができる、柔軟なアクセスコントロールが必要となります。
権限のクリープとは
ビジネスユーザーに対するすべての管理者権限を取り消すと、ITチームは多くの場合、ユーザーが特定のタスクを実行できるようにするために、特権を再付与する必要があります。例えば、企業IT環境内で使用される多くのレガシーアプリケーションおよび自社開発アプリケーション、同様に多くの市販の（COTS）アプリケーションを実行するための特権が必要となります。ビジネスユーザーがこれらの承認された必要なアプリケーションを実行するには、ITチームがローカル管理者特権をユーザーに戻す必要があります。特権が再付与されると、取り消されることはめったになく、時間が経つにつれて、組織の多くのユーザーがローカル管理者権限を再び持つことになります。「権限のクリープ」は、過度な管理者権限に関連付けられたセキュリティの抜け穴を再び開きます。その一方で、組織は「おそらく十分に保護されているだろうと信じ」、脅威に対する脆弱性が増します。最小特権のアクセスコントロールを実施することは、組織が「権限のクリープ」を抑制して、人と人以外のユーザーに必要な最小限のアクセスレベルのみを付与することに役立ちます、
最小特権の原則（PoLP ）が重要な理由
- サイバー攻撃の危険性を軽減します。今日の高度な攻撃は、特権認証情報を利用しています。スーパーユーザーと管理者の特権（IT管理者のターゲットシステムへの無制限のアクセス）を制限するために、最小特権を適用することで、全体的なサイバー攻撃の可能性を減らすのに役立ちます。.
- マルウェアの拡散を防ぎます。エンドポイントに最小特権を適用することにより、高度な特権を使用してアクセスを繰り返して、マルウェアをインストールまたは実行したり、マシンに危害を与える水平移動を行うマルウェア攻撃（SQLインジェクション攻撃など）に対抗できます。
- エンドユーザーの生産性が向上します。ビジネスユーザーに対するローカル管理者権限を取り消すことで、リスクを軽減できます。ポリシーに基づくジャストインタイムの権限昇格を有効にすることで、ユーザーの生産性を維持して、ITヘルプデスクへの問い合わせを最小限に抑えることができます。
- コンプライアンスと監査の合理化に役立ちます。多くの内部ポリシーと規制要件がある場合、組織は特権アカウントに最小特権の原則を適用することで、重要なシステムへの悪意のあるまたは意図しない危害を防ぐことができます。最小限の特権の適用により、組織は特権行動を完全に監査証跡してコンプライアンスを実証できます。
最小特権の原則を適用する方法
最小特権の原則を適用する場合、通常はより広範なサイバーセキュリティ防御戦略の一環として、次の手順の1つまたはいくつかを実行します：
- 監査により、オンプレミス、クラウド、DevOps環境、エンドポイントで、特権アカウント（パスワード、SSHキー、パスワードハッシュ、アクセスキーなど）を見つける。
- Eliminate 不要なローカル管理者権限を削除し、すべての人的ユーザーと人以外のユーザが割り当てられた業務を行うために必要な権限のみを持っていることを確認。
- 管理者アカウントを標準アカウントから分離し、特権ユーザーセッションを分離。
- 特権管理者アカウントの認証情報をdigital vaultにプロビジョニングして、アカウントのセキュリティ保護と管理を開始。
- すべての管理者パスワードを使用するたびにすぐにローテーションして、キーロギングソフトウェアによってキャプチャされた可能性がある認証情報を無効にして、Pass-the-Hash攻撃のリスクを軽減。
- 継続的に管理者アカウントに関連するすべての行動を監視して、進行中の攻撃があることを示唆する異常な行動を迅速に検出してアラートを発行。
- ジャストインタイムアクセスの昇格を有効にして、必要に応じて、ユーザーが一時的に特権コマンドを実行または特権アカウントにアクセスできるようにする。
最小特権の原則は、ゼロトラストフレームワークの基本的な構成要素です。ゼロトラストは、組織のセキュリティ境界の内側または外側にあるものを自動的に信頼するべきではないという考え方に基づき、アクセスを許可する前にシステムに接続を試みるすべてを検証することを組織に要求します。多くの組織がデジタルトランスフォーメーション戦略を加速させて、従来のセキュリティ境界アプローチからゼロトラストフレームワークへと移行して、最も機密性の高いネットワークを保護しています。
