PoLP
Principle of Least Privilege
PoLP（最小権限の原則）とは
ひとことで
利用者やプログラムには、業務に必要な最小限の権限だけを、必要な期間だけ与えるという原則。誤操作や不正、アカウントの乗っ取りが起きたときの被害を小さくできる。
たとえると
ホテルのカードキーのようなものです。宿泊客のカードは自分の部屋とエレベーターしか開けられず、チェックアウトすれば使えなくなります。全部屋を開けられるマスターキーを全員に渡すことはしません。
現場ではこう使う
ある会社では、全社員がPCの管理者権限を持っていたため、社員が誤ってマルウェア付きのソフトをインストールし、被害が広がりました。その後、管理者権限はIT担当者に限り、ソフトの導入は申請制にしました。普段の業務は一般ユーザー権限で行うため、同じようなミスが起きても影響が小さく抑えられます。
試験のポイント
EXAM POINT「業務に必要な最小限の権限だけを与える」と出てきたら最小権限の原則です。異動を繰り返すうちに権限がたまっていく「権限の積み重なり（Privilege Creep）」を防ぐには、定期的なアクセス権の見直しが有効です。管理者でも普段は一般アカウントを使い、必要なときだけ管理者権限を使うのが望ましい運用です。
混同しやすい用語との違い
- SoD重要な作業を複数の人に分けて、1人で不正を完結できないようにする原則。最小権限は1人に与える権限の量を絞る原則
- RBAC役職（ロール）単位で権限を割り当てる方式。最小権限の原則を実現する手段の1つ