最小権限の原則は、サイバーセキュリティ界隈で一般的に最小権限アクセス（LPA）としても知られています。セキュリティの世界において、最小権限アクセスは、目標達成のためにアプリケーションの使用許可を必要とする人間や自動化されたプロセスのみに付与すべきとする概念です。組織のリスク目標にも適合する、あらゆるリソースに付与される特権（またはアクセス）数を最小限にすることを指します。
権限のクリープとは、特定のユーザーが業務を行ったり、タスクを完了させるために必要な権限数を越えて、不要な権限を保持している状態のことです。簡単に言えば、ユーザーが業務を行うために特定のアプリケーションにアクセスする必要がなくなった場合は、環境の安全性を可能な限り維持するため、そのアクセス許可を取り消す必要があるのです。
こうした状況では、特定のユーザーが現在の職務や責任で必要な範囲を超えて、権限やより高いレベルのアクセス権を取得・保持することになります。例えば、短期間の一時的な業務を担当する者にリソースへのアクセス権限を与えたとします。その業務の終了時にそのアクセス権限を取り消さなかった場合、この権限のクリープにつながる場合があるのです。
同様に、職務上の責任が変更されると、その人にとって不要となった権限やアクセス許可が蓄積される可能性があります。LPAを自動化すると、権限のクリープなどの課題に加え、次のような問題にも対処できます。
ゼロトラストの概念は主に、異なるさまざまな方法の検証に依存しています。このセキュリティシナリオでは、ユーザーは何らかの検証チェックを受けずに単純にアクセスできません。最も一般的なタイプの検証テクノロジーは、多要素認証（MFA）で、これは通常、ハードウェアキーの提示、認証テキストメッセージの受信やワンタイムコードの入力の形式で行われ、ユーザーはアクセスが可能になります。
一方、最小権限では、ユーザーがアプリケーションやプログラムにアクセスする必要がある期間につき、そのユーザーが本質的に信頼され、検証されるプロセスであり、アクセスのためにセキュリティ検証手段を通過する必要がなくなります。
LPAはネットワークを可能な限り安全に保つ上で役立つため、重要です。ネットワークユーザーが仕事を行うために必要な権限の数を制限することで、安全を維持しているのです。こうすれば、特定のユーザーに過剰な権限が与えられることはありませんが、そうした状況に陥りやすい理由は理解できます。
企業のネットワーク環境は、特に大企業の場合、規模が非常に大きくなる傾向にあり、ユーザーが必要とする権限を正確に把握することは必ずしも容易ではありません。同様に、新しいユーザーが長期的に見て必要な権限を把握していない場合は、将来そうした権限が必要になる可能性を見越してオーバープロビジョニングする方が便利な場合があります。
ユーザーのシステム（またはエンドポイント）が侵害された場合、脅威アクターはそのユーザーの不必要に昇格されたすべての権限にアクセスできるようになります。こうして攻撃者は、盗んだ権限を利用してシステム間を移動し、ネットワークを簡単に調べて、暗号化して盗み出すための望ましいデータを見つけ、ランサムウェア攻撃を実行します。
権限のクリープはどのセキュリティ組織でも発生しており、大規模な組織で過剰な権限を管理できるようにすることは、理解はできても実際には難しいように思えるかもしれません。この問題を解決するには、通常のアクティビティがどのようなものであるかのベースラインを確立する必要があります。このベースラインを確立するには、一定期間にわたって実際のアクティビティを追跡する必要があります。
ベースラインが確立されると、その通常のアクティビティを特定の主体に付与されたアクセス許可と関連付けることができ、組織のLPAガイドラインに準拠するようにアクセス許可を自動調整できます。
LPAには、計り知れないほどのメリットがあります。ID およびアクセス管理 (IAM)プログラムは、LPA の概念が該当するアクセスに関するより広範なカテゴリであり、最新のセキュリティ プログラムの重要なコンポーネントです。
最小権限の原則を導入する主なメリットは、生産性を大幅に低下させることなく、ネットワークの攻撃可能領域を実質的にロックダウンできることです。最小権限アクセスモデルのその他のメリットをいくつか見てみましょう。
チームは、組織のリスク目標の達成のために可能な限り最小限の権限を設定することで、LPAを確立・管理できるほか、以下も実現できます。
LPAは終わりのないプロセスであり、組織の役割やアクセス許可に照らし合わせて権限レベルを継続的に評価する必要があります。クラウドインフラストラクチャ権限管理（CIEM）ツールは、特権アカウントの検出といくつかのガイド付き修復機能を備えており、組織がより強力なセキュリティ態勢に移行する上で役立ちます。