Was ist das Least Privilege-Prinzip?

Was ist das Least Privilege-Prinzip?

Das Prinzip der geringsten Privilegien (Principle of Least Privilege, PoLP, Least Privilege-Prinzip) bedeutet, dass ein bestimmtes Benutzerkonto nur die Zugriffsrechte haben sollte, die für die Ausführung der Aufgaben seiner Rolle erforderlich sind – nicht mehr und nicht weniger.

PoLP ist ein wichtiger Bestandteil eines professionellen Identity- und Access Managements.

Das Prinzip der geringsten Privilegien beruht darauf, dass ein Mitarbeiter seine Arbeit nicht ohne die Mindestzugriffsanforderungen erledigen kann. Zu viele Rechte und Berechtigungen schaffen Compliance- und Sicherheitsrisiken.

Das Least Privilege-Prinzip (PoLP) ist entscheidend, um zu verhindern, dass über den gesamten User Account Lifecycle ständig ungeprüfte Zugriffsrechte gesammelt werden.

Der “ User Account Lifecycle“ definiert die kollektiven Verwaltungsstufen für jedes Benutzerkonto im Laufe der Zeit – Onboarding, Aktualisierung und Offboarding.

Diese schrittweise Rechtanhäufung wird umgangssprachlich als Rechteakkumulation, „Privilege Creep“, „Access Creep“ oder „Permission Bloat“ bezeichnet.

Diese IT-Herausforderungen fallen meist mit Beförderungen, Stellen- oder Abteilungswechseln zusammen. Die Gefahren der Rechteakkumulation von Zugriffen erstrecken sich jedoch nicht nur auf Mitarbeiter, sondern auch auf Service-Accounts.

Service-Accounts sind spezielle Benutzerkonten, die Anwendungen oder Diensten zugeordnet sind, die im Hintergrund einer IT-Umgebung arbeiten.

Rechteakkumulation mit RBAC verhindern

Jedes Benutzerkonto enthält angepasste Zugriffsrechte und Berechtigungen. Diese basieren auf rollenbasierten Zugriffskontrollen (RBAC). Dies gilt unabhängig davon, ob der On- und Offboardingprozess manuell oder automatisiert durchgeführt wurde.

Einige Benutzerkonten behalten während ihres gesamten User Account Lifecycles die gleichen Zugriffe. Andere wiederum ändern sich mehrmals. Ohne regelmäßige Überprüfungen läuft fast jedes Benutzerkonto Gefahr, sich zu viele Privilegien anzueignen. Mit RBAC können diese Rechteakkumulationen verhindert werden.

Ad-hoc-Projekte oder -Aufträge

Wenn ein Mitarbeiter ein Ad-hoc-Projekt oder einen Ad-hoc-Auftrag erhält, benötigt er hierfür zusätzliche Zugriffsrechte und Berechtigungen.

Zum Beispiel befinden sich relevante Projektdaten in einem bestimmten Ordner oder es sind bestimmte Anwendungen oder Lizenzen (z. B. Adobe) erforderlich.

Neue Abteilung – Neue Rechte!

Diese stetigen Änderungen führen fast immer zu neuen Zugriffsregelungen. Selbst Mitarbeiter, die geographisch umziehen, benötigen je nachdem einen geänderten Zugang z. B. eine neue Zugangskarte. Wird ein Mitarbeiter befördert, benötigt er weiterhin die gleichen Ressourcen wie zuvor, allerdings mit erhöhten Berechtigungen.

Beispielsweise muss der „Lese“-Zugriff eines Standardusers, auf den „Lese-/Schreib“-Zugriff eines Managers aktualisiert werden.

Offboarding – Wenn der Ex-Mitarbeiter noch Zugang hat!

Wenn ein Mitarbeiter die Abteilung wechselt, müssen seine Zugriffsrechte entsprechend aktualisiert werden. Die alten Rechte und Berechtigungen müssen sofort deaktiviert werden.

Beispielsweise der für ein spezielles Projekt gewährte Zugriff muss nach Abschluss des Projekts überprüft und deaktiviert werden. Allzu oft gerät jedoch dieser Teil in Vergessenheit. Viele Organisationen überspringen diese Überprüfungen und Anpassungen. Denn dieser Teil ist mühsam, häufig manuell und somit zeitintensiv.

Bestehende Zugänge nach dem Offboarding von Mitarbeitern, sind ebenso ein häufig unentdecktes Problem. Sofern ein Mitarbeiter das Unternehmen verlässt, sei es durch Kündigung oder Renteneintritt, müssen alle seine Zugänge und Berechtigungen auf Knopfdruck deaktiviert werden. Ohne Überprüfung kann Ihre Organisation eine unüberschaubare Anzahl von Benutzern haben, die mit erweiterten Privilegien in Ihrer Umgebung arbeiten.

3 gute Gründe für ein Least Privilege-Prinzip (PoLP)

Einhaltung gesetzlicher Vorschriften und Compliance/Segregation of Duties (SoD)

Wenn es zu viele Zugriffe gibt, besteht ein größeres Risiko, Compliance-Richtlinien nicht einzuhalten. SoD setzt die betrieblichen Kontrollen und Gegenkontrollen durch, die die Nichteinhaltung und manuelle Fehler verhindert.

Datensicherheit durch RBAC schützen

Die unkontrollierte Rechteakkumulation von Zugriffen verschärft viele Sicherheitsverletzungen. Ein Verstoß gefährdet alles, zu dem ein Benutzer autorisierten Zugriff hat.

Wenn alte Zugriffsrechte nicht aktualisiert werden, kann der Hacker für einige Zeit unauffindbar sein.

Eine professionelles Berechtigungsmanagement spart Kosten

Wenn Benutzer Zugriffe akkumulieren, verwandeln sie Ihre IT-Umgebung schrittweise in ein verworrenes Spinnennetz. Wenn Sie schon einmal Zeit damit verbracht haben, Schnüre oder eine Lichterkette zu entwirren, wissen Sie, wie schwierig das ist.

Wenn Ihr Unternehmen regelmäßigen Audits und Compliance-Prüfungen unterliegt, erfordern manuelle Reportings enormen Aufwand. Dabei sind mehrere Mitarbeiter und oftmals auch Manager involviert.

Implementierung des Least Privilege-Prinzip (PoLP)

Die Implementierung eines Least Privilege-Prinzips (PoLP) erfordert die Überprüfung Ihrer Umgebung zur Aktualisierung der Zugriffsrechte und der eingeschränkten Nutzung privilegierter Konten. Interne Audits sind für eine ordnungsgemäße Zugriffskontrolle von entscheidender Bedeutung.

Automatisierte Lösungen setzen konfigurierte Zugriffsrechte durch und bieten Business Intelligence-Berichte, um den Aufwand für manuelle Überprüfungen drastisch zu reduzieren. Mithilfe dieser Berichte können Manager und IT-Abteilung gemeinsam den Zugriff sicher und konform einhalten.

Lesen Sie mehr darüber, wie das Least Privilege-Prinzip durch IAMs RBAC-Modul und die Zugangskontrollen durchgesetzt werden kann.