مبدأ أقل الامتيازات (PoLP) هو مفهوم من مفاهيم أمن المعلومات حيث يحصل المستخدمون والتطبيقات والعمليات على الحد الأدنى من صلاحيات الوصول التي يحتاجونها لأداء مهمة ما فقط، وذلك لأقل وقت ممكن، ولا شيء أكثر من ذلك.
كل مستخدم وتطبيق وعملية في أي مؤسسة يحتاج إلى مستوى معين من صلاحيات الوصول ليؤدي وظيفته. يحتاج المطور إلى دفع التعليمات البرمجية إلى مستودع. ويحتاج موظف الفواتير إلى استخراج سجلات الدفع. وتحتاج خدمة النسخ الاحتياطي إلى قراءة البيانات من قاعدة البيانات.
وبموجب مبدأ أقل الامتيازات، يحصل كل كيان من هذه الكيانات على صلاحيات الوصول التي تتطلبها تلك المهام بالضبط ولا شيء آخر.
يُطلق على هذا المفهوم أحيانًا اسم الوصول بأقل الامتيازات أو الحد الأدنى من الوصول. وينطبق على كل من حسابات المستخدمين البشرية و الهويات غير البشرية (NHIs) بما في ذلك التطبيقات، والأجهزة، وحسابات الخدمة، ومفاتيح واجهة برمجة التطبيقات و وكلاء الذكاء الاصطناعي.
يُعد مبدأ أقل الامتيازات عنصرًا أساسيًا في إدارة الهوية والوصول (IAM)، وهو إطار العمل الأوسع الذي يحكم مَن يحصل على صلاحيات الوصول، وما يمكنه فعله بها، وإلى أي مدة. بمعنى آخر، نظام إدارة الهوية والوصول (IAM) هو النظام الذي يطبق مبدأ أقل الامتيازات (PoLP) عمليًا.
كما يُعد مبدأ أقل الامتيازات أحد الآليات الأساسية لأمان الثقة الصفرية . فبموجب الثقة الصفرية، لا يوجد أي مستخدم أو جهاز أو تطبيق موثوق بشكل افتراضي—حتى وإن كان داخل شبكة الشركة. بل يُجرى تحليل كل طلب وصول ومنح صلاحيات الوصول على أساس كل حالة على حدة. وتُمنح الطلبات المشروعة صلاحيات وصول بأقل الامتيازات وليس أكثر من ذلك. وبهذه الطريقة، يمكن لمبدأ أقل الامتيازات مساعدة المؤسسات على فرض الامتثال، واحتواء الحوادث الأمنية، وتعزيز الوضع الأمني العام.
انضم إلى قادة الأمن الإلكتروني الذين يعتمدون على الرسالة الإخبارية Think للحصول على أخبار مُنتقاة عن الذكاء الاصطناعي والأمن السيبراني والبيانات والأتمتة. تعلم بسرعة من برامج تعليمية وشروحات يقدّمها خبراء - تُرسَل مباشرة إلى بريدك الإلكتروني. راجع بيان الخصوصية لشركة IBM.
أبسط مثال على استخدام مبدأ أقل الامتيازات هو سيناريو اختراق بيانات الاعتماد. يحصل المهاجِم على اسم مستخدم وكلمة مرور صالحين، عادةً من خلال رسالة تصيد احتيالي عبر البريد الإلكتروني، أو متاجر الشبكة الخفية ، أو برنامج ضار لسرقة المعلومات. ثم، يتمكن المهاجم من تسجيل الدخول. من منظور الشبكة، تبدو هذه الجلسة وكأنها جلسة عادية من مستخدم شرعي.
إذا كان الحساب المخترق يحمل امتيازات مفرطة—أي صلاحيات الوصول إلى الأنظمة وقواعد البيانات ومشاركات الملفات التي لا يحتاجها المستخدم الفعلي أبدًا في العمل اليومي—فإن المهاجم يصبح لديه كل هذه الصلاحيات أيضًا. ويمكنه التحرك عبر الشبكة بشكل جانبي نحو أهداف ذات قيمة أعلى ومعلومات حساسة، مثل السجلات المالية، وقواعد بيانات العملاء، ومصدر الرمز الخاص.
هذه الحركة الجانبية هي ما يمكن أن يحول اختراق كلمة مرور واحدة إلى حادث اختراق أمن بيانات كامل.
وفقًا لتقرير تكلفة خرق البيانات الصادر عن IBM، فإن حوادث الاختراق التي تبدأ باختراق بيانات الاعتماد تكلف في المتوسط 4.67 مليون دولار أمريكي وتستغرق حوالي 246 يومًا للعثور عليها واحتوائها. ووجد IBM X-Force® Threat Intelligence Index أن الحسابات المخترقة شاركت في 32% من الهجمات الإلكترونية التي جرى تحليلها.
من خلال تقييد صلاحيات الوصول التي يتمتع بها أي حساب، يساعد مبدأ أقل الامتيازات بشكل كبير على تقليل نطاق الهجمات. فهو يقلل من نطاق ما يمكن للمهاجم الوصول إليه باستخدام الحساب الذي اخترقه في البداية، ويساعد على منع الوصول غير المصرح به إلى الأنظمة غير ذات الصلة، ويحد من الضرر المحتمل الناجم عن أي اختراق فردي.
على سبيل المثال، تخيل أن هناك مخترق اخترق حساب محلل تسويق. مع تطبيق مبدأ أقل الامتيازات، قد يتمكن من الوصول إلى بعض لوحات المعلومات في أداة إدارة علاقات العملاء (CRM) ، لا إلى أكثر من ذلك. أما في غياب مبدأ أقل الامتيازات، فقد يظل هذا الحساب نفسه قادرًا على الوصول إلى قواعد بيانات الإنتاج وواجهات برمجة التطبيقات الداخلية وخوادم الملفات الخاصة بمشاريع انتهت قبل أشهر. إنه هجوم واحد، ولكن بنطاق تأثير أكبر بكثير.
أصبحت الهويات غير البشرية (NHIs)—مثل حسابات الخدمات، وهويات أحمال التشغيل، والروبوتات، ووكلاء الذكاء الاصطناعي—تشكل الآن غالبية الهويات في معظم البيئات المؤسسية. وبحسب أحد التقديرات، فإن عدد الهويات الآلية يفوق عدد الهويات البشرية بنسبة 45:1.
تشكل الهويات غير البشرية بمجموعها نطاق هجوم هائل. فكل واحدة منها تمثل ثغرة أمنية محتملة في حال عدم تحديد صلاحياتها بعناية. البيئات السحابية، وبُنى الوصول عن بُعد، وانتشار خدمات البرمجيات يعني أن هناك عددًا أكبر بكثير من الهويات التي تطلب الوصول إلى الأنظمة الحيوية مقارنةً بالسابق.
وفقًا إلى مؤسسة OWASP، يُعد الإفراط في منح الامتيازات أحد أبرز 10 مخاطر مرتبطة بالهويات غير البشرية. ونظرًا إلى أنها جزء أساسي من سير العمل الأساسية (مثل دورة حياة عمليات التطوير والنسخ الاحتياطية للنظام)، فغالبًا ما يكون لدى الهويات غير البشرية امتيازات وصول إلى المعلومات الحساسة. ومن أجل جعل هذه العمليات "تعمل ببساطة"، غالبًا ما تمنح المؤسسات الهويات غير البشرية امتيازات أعلى مما تحتاج إليه.
يُعد اختراق بيانات الاعتماد شيئًا آخر يجب أخذه في الحسبان. فالتطبيقات والأجهزة لا تستخدم كلمات المرور، لكنها تستخدم مفاتيح واجهة برمجة التطبيقات ورموز OAuth والشهادات الرقمية وغيرها من الأسرار للتحقق من هويتها. يمكن سرقة هذه الأسرار وإساءة استخدامها بالطريقة نفسها التي يمكن بها استخدام كلمات مرور المستخدمين البشريين، ما يتيح الوصول غير المصرح به والتنقل الجانبي عبر الأنظمة.
على عكس المستخدمين البشريين، لا يمكن للهويات غير البشرية استخدام المصادقة الثنائية—لذا غالبًا ما يكون سرقة بيانات اعتماد واحدة كافية لاختراق الحساب بالكامل. لا يمنع مبدأ أقل الامتيازات سرقة بيانات الاعتماد، ولكنه يحد من النطاق الذي يمكن أن تصل إليه بيانات الاعتماد المسروقة.
غالبًا ما تُترك الهويات غير البشرية نشطة حتى بعد إيقاف تشغيل التطبيقات أو الأجهزة المرتبطة بها—فتظل من دون مراقبة، مع الحفاظ على جميع صلاحياتها. في الواقع، يُعد إنهاء الخدمة بشكل غير صحيح هو الخطر الأول المرتبط بالهويات غير البشرية وفقًا إلى OWASP.
يساعد مبدأ أقل الامتيازات على معالجة هذه المخاطر من خلال ضمان أن كل الهويات غير البشرية تعمل فقط بصلاحيات الوصول التي تحتاجها. يمكن أن تساعد هذه القيود على الحد من الضرر في حال سرقة بيانات الاعتماد وتقليل المخاطر الناجمة عن ترك الهوية غير البشرية نشطة بعد انتهاء الغرض منها.
يساعد مبدأ أقل الامتيازات أيضًا على الحماية من التهديدات الداخلية. وتشمل هذه التهديدات كلاً من المهاجمين الداخليين الخبيثين الذين يسيئون استخدام صلاحيات وصولهم عمدًا، والموظفين حسني النية الذين يتسببون عن طريق الخطأ في وقوع ضرر نتيجة تمتعهم بصلاحيات لا يحتاجون إليها وقد لا يدركون وجودها حتى.
وفقًا لتقرير تكلفة خرق البيانات، تُعد الهجمات الداخلية الخبيثة هي الأكثر تكلفة، بمتوسط 4.92 مليون دولار أمريكي لكل حادث. وهذه التكلفة أعلى من التكلفة الناجمة عن التصيد الاحتيالي، و برامج الفدية ، واختراق بيانات الاعتماد.
تُعد التكلفة مرتفعة جزئيًا لأن المهاجمين الداخليين لديهم صلاحيات وصول شرعية بالفعل. فلا يوجد محيط يمكن اختراقه أو تسجيل دخول مشبوه يمكن الإبلاغ عنه. عندما يكون لدى المستخدم صلاحيات تتجاوز دوره بكثير، فإن الضرر الذي يمكن أن يحدثه—سواء عن قصد أو عن طريق الخطأ—يقتصر فقط على نطاق ما يمكنه الوصول إليه. يحد مبدأ أقل الامتيازات من هذا النطاق.
تتعامل عدة معايير تنظيمية وأُطر امتثال مع مبدأ أقل الامتيازات كشرط أساسي لتقييد الوصول إلى البيانات الحساسة.
يبدأ مبدأ أقل الامتيازات بوضع الرفض الافتراضي. يبدأ كل مستخدم وتطبيق وعملية بلا أي صلاحيات. ثم تُضاف الصلاحيات حسب الحاجة فقط. وتُحدد الصلاحيات حسب مهمة محددة أو دور محدد، وليس على حسب الأقدمية أو الملاءمة أو غيرها من المعايير الأقل أهمية. ويحصل كل مستخدم على الحد الأدنى فقط من صلاحيات الوصول التي يتطلبها عمله، كما هو موثق في سياسات الوصول الرسمية التي وضعتها فرق الهوية والأمان.
من الناحية العملية، هذا يعني أن مبدأ أقل الامتيازات يمكن أن يصبح أكثر دقة.
فكر في نظام التحكم في الوصول القائم على الأدوار (RBAC). بموجب نظام التحكم في الوصول القائم على الأدوار التقليدي، قد يُمنح وكيل دعم العملاء صلاحيات وصول واسعة إلى نظام الفوترة الخاص بالشركة. أما في نظام التحكم في الوصول القائم على الأدوار الذي يطبق مبدأ أقل الامتيازات، قد يتلقى الوكيل نفسه صلاحيات القراءة فقط بشكل افتراضي. وإذا كان هناك طلب دعم معين يتطلب شيئًا معينًا مثل تحديث معلومات العميل، فيمكن للوكيل طلب صلاحيات وصول مؤقتة لإجراء هذا العملية.
ينطبق مبدأ أقل الامتيازات عبر مراحل دورة حياة الوصول الأربع.
عندما ينضم موظف إلى مؤسسة، أو ينتقل إلى دور جديد، أو يُنشئ حسابًا لاستخدام مورد جديد، فإنه يحصل على مستوى أساسي من صلاحيات الوصول. وقد تكون صلاحيات الوصول قائمة على الأدوار، أو قائمة على السمات، أو مقدمة عند الطلب، مع عدم وجود صلاحيات دائمة على الإطلاق، وذلك اعتمادًا على نموذج الوصول المستخدم.
ما يضيفه مبدأ أقل الامتيازات، بغض النظر عن النموذج، هو أنه يجب دائمًا تقييد نطاق الوصول بالحد الأدنى اللازم للدور أو المهمة المطروحة. فعلى سبيل المثال، قد يكون لدى محلل مالي جديد في أحد البنوك من الناحية التقنية صلاحية الوصول إلى مجموعة واسعة من أدوات إعداد التقارير و مجموعات البيانات. ولكن في ظل تطبيق مبدأ أقل الامتيازات، يتلقى هذا المحلل لوحات المعلومات ومجموعات البيانات المحددة التي يتطلبها عمله الحالي فقط، وليس كل ما قد تقدمه تلك الأدوات. وإذا تغيرت مسؤولياته أو توسعت، فسيُجرى تعديل صلاحيات الوصول تبعًا لذلك.
عندما يستخدم المستخدمون صلاحياتهم بنشاط، فإن آليات التحكم في الوصول تفرض الحدود المحددة في أثناء عملية منح الصلاحيات طوال سير العمل العادي.
فعلى سبيل المثال، يمكن للمحلل المالي المذكور سابقًا إجراء استعلامات على مجموعات البيانات التي مُنح صلاحية الوصول إليها، ولكن إذا حاول فتح ملف خارج نطاق عمله، فسيُرفض منحه صلاحية الوصول. وتظل الحدود المحددة في أثناء عملية منح الصلاحيات سارية.
في حال إشراك المحلل نفسه في مشروع آخر مؤقتًا واحتاج إلى الوصول إلى مجموعة بيانات مختلفة، يمكنه إرسال طلب وصول. وعندئذٍ، يعمل نظام إدارة الهوية والوصول (IAM) على تقييمه—حيث يتحقق من الهوية والدور والسياق والغرض—ويمنحه الصلاحية الإضافية طوال مدة ذلك المشروع. وعندما ينتهي الأمر، تُلغى صلاحيات الوصول الإضافية.
تُجري فرق الهوية والأمان عمليات تدقيق دورية للتحقق مما إذا كانت صلاحيات وسياسات الوصول لا تزال متوافقة مع مسؤوليات المستخدمين، وتكوينات الشبكة، وعمليات الأعمال، وغيرها من المعايير ذات الصلة. ويمكن لهذه المراجعات أن تساعد على اكتشاف مجموعة من مشكلات الوصول الشائعة، مثل انتقال موظف إلى فريق آخر مع الاحتفاظ بجميع صلاحياته القديمة أو حساب متعاقد لم تُلغَ صلاحياته أبدًا.
عندما لا تكون هناك حاجة إلى صلاحيات الوصول—بسبب مغادرة الموظف للشركة أو تغيير فريقه أو اكتمال مهمة—تُلغَ تلك الصلاحيات. وتُعد صلاحيات الوصول المتبقية على الحسابات القديمة أو المنسية من الثغرات الأمنية الشائعة. ففي كثير من الأحيان، لا يوجد أحد يراقب ما يحدث على هذه الحسابات، ما يجعلها أهدافًا سهلة للمهاجمين. يساعد إجراء عملية إلغاء الصلاحيات على الحسابات بشكل صحيح المؤسسات على تقليل نطاق الهجوم ومنع الوصول غير المصرح به من خلال الحسابات الخاملة المخترقة.
مبدأ أقل الامتيازات وأمان الثقة الصفرية يتداخلان لكنهما مختلفان. فالثقة الصفرية هي بنية أمن إلكتروني مبنية على فكرة أنه لا يجب أبدًا الوثوق بأي شخص ويجب التحقق دائمًا من كل طلب وصول، بغض النظر عن مصدره. أما مبدأ أقل الامتيازات، فهو نموذج لتحديد مقدار صلاحيات الوصول التي يجب منحها لأي طلب مشروع.
ترفض الثقة الصفرية نموذج المحيط القديم، الذي كان يفترض أن كل شيء يقع داخل جدار حماية الشبكة آمن. تدرك الثقة الصفرية أن المهاجمين يمكنهم اختراق المحيط الخارجي ويمكن أن يتسبب الموظفون الداخليون في حدوث اختراقات أمنية أيضًا.
مع تطبيق مبدأ الثقة الصفرية، لا يوجد أي مستخدم أو جهاز أو تطبيق موثوق بشكل افتراضي، حتى وإن كان داخل شبكة الشركة. ويُجرى تقييم كل طلب وصول بناءً على الهوية والجهاز والموقع وأنماط السلوك. وحتى بعد المصادقة، يحصل المستخدمون فقط على الحد الأدنى من الوصول الذي يحتاجونه لما يفعلونه في تلك اللحظة.
بمعنى آخر، تتحكم الثقة الصفرية في شروط منح صلاحيات الوصول، بينما تتحكم ضوابط مبدأ أقل الامتيازات في النطاق. تُمكّن هذه التقنيات معًا من اتباع نهج دفاعي متعدد الطبقات لإدارة صلاحيات الوصول.
الوصول في الوقت المناسب (JIT) هو إحدى طرق تنفيذ مبدأ أقل الامتيازات. وغالبًا ما يُعد التعبير الأكثر صرامة ودقة لمبدأ أقل الامتيازات لأنه يلغي الصلاحيات الدائمة تمامًا. وهذا يعني أنه لا يوفر مستوى أساسيًا من صلاحيات الوصول ولا يدير ما هو أعلى منه. بل يمنح الوصول في الوقت المناسب صلاحيات الوصول عند الطلب لتنفيذ مهمة محددة، ثم يلغيها تلقائيًا عند اكتمال تلك المهمة.
فعلى سبيل المثال، مهندس قواعد البيانات الذي يحتاج إلى تشغيل برنامج نصي للترحيل على قاعدة بيانات الإنتاج لا يكون لديه صلاحيات وصول دائمة إلى هذا النظام على الإطلاق. بل يمكنه طلب صلاحيات الوصول لمدة أربع ساعات، فيحظى بها ويستخدمها ثم يفقدها. فلا يوجد مستوى أساسي ولا صلاحيات متبقية.
بالنسبة إلى المؤسسات التي ترغب في تطبيق مبدأ أقل الامتيازات بأقصى قدر ممكن من الصرامة، فإن الوصول في الوقت المناسب (JIT) غالبًا ما يكون هو النهج الأكثر فعالية. إذا لم يكن لدى أي شخص صلاحيات وصول دائمة، فلن تكون هناك أي حسابات خاملة أو صلاحيات متبقية يمكن للمخترقين استغلالها. ومع ذلك، يمكن أن يكون لذلك تحديات. فتوفير كل الصلاحيات عند الطلب يمكن أن يؤدي إلى ظهور عوائق تشغيلية، خاصةً في المهام الروتينية، ودمج الوصول في الوقت المناسب عبر الأنظمة القديمة وبيئات السحابة قد يكون أمرًا معقدًا من الناحية التقنية.
تفرض المؤسسات مبدأ أقل الامتيازات من خلال نماذج التحكم في الوصول ، وهي أُطر تحدد كيفية تعيين الصلاحيات وإدارتها ومراجعتها.
هناك نموذجان أمنيان شائعان في تطبيق مبدأ أقل الامتيازات: التحكم في الوصول القائم على الأدوار والتحكم في الوصول القائم على السمات.
يعمل نموذج التحكم في الوصول القائم على الأدوار (RBAC) على تقسيم الصلاحيات إلى أدوار مستخدم محددة مسبقًا—"محلل مالي"، و"مهندس شبكات"، و"فني مكتب المساعدة"—ويعين الأشخاص لتلك الأدوار بدلاً من تكوين الصلاحيات لكل مستخدم بشكل فردي. يعكس هذا الهيكل طريقة عمل معظم المؤسسات بالفعل، من حيث الأقسام والمناصب والتسلسل الإداري.
في حين أن نموذج التحكم في الوصول القائم على الأدوار أكثر أمانًا من العديد من نماذج الوصول الأخرى، فإنه نادرًا ما يطبق مبدأ أقل الامتيازات بمفرده. بل غالبًا ما يحتاج إلى التكامل مع ضوابط أخرى مثل مراجعة صلاحيات الوصول وتوفير صلاحيات الوصول في الوقت المناسب.
على سبيل المثال، قد يُنشئ نموذج التحكم في الوصول القائم على الأدوار التقليدي مجموعة من الصلاحيات الدائمة لكل دور، بينما قد يستخدم نموذج التحكم في الوصول القائم على الأدوار الذي يطبق مبدأ أقل الامتيازات الوصول في الوقت المناسب بدلاً من منح صلاحيات دائمة.
بينما يمنح نموذج التحكم في الوصول القائم على الأدوار (RBAC) الصلاحيات بناءً على هوية المستخدم، يتخذ نموذج التحكم في الوصول القائم على السمات (ABAC) القرارات بناءً على مجموعة أوسع من السمات. ويمكن أن تشمل هذه السمات خصائص المستخدم (القسم، والمستوى الوظيفي، والموقع)، والموارد (تصنيف الحساسية، ونوع البيانات)، والبيئة (الوقت، والشبكة، ونوع الجهاز) والإجراء المطلوب (القراءة، والكتابة، والحذف).
على سبيل المثال، قد تسمح سياسة الوصول القائم على السمات في شركة خدمات مالية للمحلل بالوصول إلى بيانات المعاملات الحساسة فقط خلال ساعات العمل، وفقط من جهاز كمبيوتر محمول مدار من قِبل الشركة، وفقط في أثناء اتصاله بشبكة الشركة. وسيُحظر المحلل نفسه إذا حاول الوصول إلى البيانات نفسها في منتصف الليل من هاتف شخصي باستخدام شبكة wifi في مطار.
تستخدم العديد من تطبيقات مبدأ أقل الامتيازات الوصول القائم على السمات نظرًا إلى قدرته على تحديد نطاق قرارات الوصول باستخدام مزيج معقد من سمات المستخدم والموارد والسياق والإجراء المطلوب. كما تستخدم العديد من الأدوات التي يعتمد عليها مبدأ أقل الامتيازات—مثل الوصول في الوقت المناسب—شكلاً من أشكال الوصول القائم على السمات لاتخاذ قرارات منح صلاحيات الوصول.
بينما تحدد نماذج التحكم في الوصول كيفية هيكلة الصلاحيات، تساعد أدوات إدارة الهوية والوصول (IAM) على فرض تلك الصلاحيات. وتتولى هذه الأدوات إدارة ومراقبة والتحكم في صلاحيات وصول المستخدمين على نطاق واسع عبر نقاط النهاية المحلية و مراكز البيانات والبيئات السحابية.
تركز أدوات إدارة الوصول المميز (PAM) على الحسابات الأكثر خطورة: حسابات المستخدمين المتميزين، وحسابات الخدمات، وغيرهم من المستخدمين الذين لديهم امتيازات إدارية. يمكن للحساب المخترق الذي يتمتع بامتيازات أن يكشف عن تكوين النظام بالكامل، وقاعدة بيانات المستخدمين، ومفاتيح التشفير ، وليس فقط بيانات شخص واحد.
تعالج أدوات إدارة الوصول المميز هذا الخطر من خلال تخزين بيانات اعتماد الحسابات ذات الامتيازات في خزائن مشفرة وتسجيل الجلسات وفرض سير العمل الموافقة بحيث يمكن التحكم في الامتيازات المرتفعة ومراقبتها وتحديد مدتها دائمًا.
على سبيل المثال، لا يمكن لمسؤول قاعدة البيانات الذي يحتاج إلى الوصول الجذري لتنفيذ عملية الصيانة تسجيل الدخول وقتما يريد. بل يجب عليه طلب الوصول والحصول على الموافقة وإكمال عمله خلال مدة زمنية محددة.
تربط منصات حوكمة الهوية وإدارتها (IGA) إدارة صلاحيات الوصول بدورة حياة الموظف. فهي تتصل بأنظمة الموارد البشرية بحيث عندما ينضم موظف إلى المؤسسة أو يغادر أو ينتقل بين الفرق، تتغير صلاحيات الوصول تلقائيًا. يمكن أن تساعد هذه الأتمتة على تبسيط عمليات منح الصلاحيات وإلغائها مع منع زيادة الامتيازات.
تُعد سير العمل الآلية لحوكمة الهوية وإدارتها مهمة في المؤسسات الكبيرة، حيث تُعد إدارة منح الصلاحيات وإلغائها يدويًا سببًا في زيادة الصلاحيات وترك الحسابات غير المستغلة نشطة.
على الرغم من أن السعي إلى تحقيق مبدأ أقل الامتيازات قد يكون سهلاً، فإنه قد يكون من الصعب الحفاظ عليه.
تزايد الامتيازات هو التراكم التدريجي لصلاحيات الوصول الذي يحدث عندما يغير المستخدمون أدوارهم أو يتولوا مشاريع جانبية أو يجمعون صلاحيات مؤقتة لا يتذكر أحدهم إلغاءها.
على سبيل المثال، قد ينتقل محلل تسويق إلى فريق المنتج لكنه يحتفظ بصلاحيات الوصول إلى محرك الأقراص المشترك للتسويق ولوحة معلومات تحليلات الفريق. أو قد يحصل المطور على صلاحيات وصول مؤقتة إلى قاعدة بيانات الإنتاج لتصحيح مشكلة لدى أحد العملاء، ثم تصبح صلاحية الوصول المؤقتة دائمة بسبب التقاعس.
وبمرور الوقت، تؤدي هذه الامتيازات المفرطة المتراكمة إلى إنشاء حسابات متضخمة ذات صلاحيات وصول أكبر بكثير مما يتطلبه أي دور فردي. وقد لا يدرك المستخدمون أنفسهم ما يمكنهم الوصول إليه.
تطبيق مبدأ أقل الامتيازات بشكل مفرط قد يؤدي إلى توقف العمل تمامًا. فإذا اضطر الموظف إلى تقديم طلب دعم وانتظار يومين للوصول إلى نظام يحتاجه لعمل بعد الظهر، فقد يحاول إيجاد حلول بديلة: استعارة بيانات اعتماد زميل، أو استخدام حساب خدمة مشتركة، أو اللجوء إلى أداة غير معتمدة لا تتطلب موافقة قسم تكنولوجيا المعلومات. يمكن أن تؤدي هذه الحلول بعد ذلك إلى مخاطر أمنية أسوأ من تلك التي قد تنتج عن سياسة الوصول الأكثر تساهلاً.
وفقًا لتقرير تكلفة خرق البيانات، كان الذكاء الاصطناعي الظلي—وهو أدوات الذكاء الاصطناعي غير المصرح بها—عاملاً في 20% من حوادث الاختراق.
يُعد الذكاء الاصطناعي الظلي جزءًا من مشكلة تتعلق بمبدأ أقل الامتيازات. فعندما تكون الأدوات المصرح بها مقيدة جدًا أو بطيئة جدًا في الوصول إليها، قد يميل الأشخاص إلى الالتفاف عليها.
يمكن للمؤسسات المساعدة على تحقيق التوازن بين هذه المطالب من خلال العمل على جعل طلب صلاحيات الوصول أمرًا سهلاً وتسريع وتيرة الحصول عليها. يمكن أن تساعد بوابات الخدمة الذاتية، وسير عمل الموافقة الآلية، والوصول في الوقت المناسب على توفير الصلاحيات المطلوبة بدقة للمدة التي تستغرقها المهمة.
الوصول الآمن والسلس عبر البيئات الهجينة والسحابة المتعددة مع أحد حلول إدارة الهوية والوصول (IAM) الموثوقة والتي لا تعتمد على مورِّد معين.
تقوم حلول الأمان ذات الثقة الصفرية بربط المستخدمين بالبيانات الحساسة بأمان، ما يحمي المجموعات من التهديدات السيبرانية.
ضع برنامج إدارة الهوية والوصول (IAM) للمستهلكين والقوى العاملة لديك على طريق النجاح بفضل المهارات والإستراتيجيات وسبل الدعم التي يقدمها خبراء الهوية والأمان.