最小権限の原則

最小権限の原則では、社員には担当する業務に要るシステムとデータだけを使えるようにし、管理者の権限は必要な人に、必要な間だけ与えます。システムどうしをつなぐためのアカウントや、クラウドのサービスに与える権限も同じ考え方で絞ります。

権限を広く与えておくと、アカウントが乗っ取られたときや、誤った操作をしたときに、被害が大きくなります。権限を絞っておけば、攻撃者ができることも限られます。退職や異動のたびに権限を見直さないと、不要な権限が残り続けるため、定期的な棚卸しを行います。

権限を絞りすぎると業務が止まるため、申請と承認の流れを作り、急ぎのときの手順も決めておきます。管理者の権限（特権ID）は、使った記録を残し、普段の業務とは別のアカウントにすることが勧められています。