En Az Yetki İlkesi Nedir?
İngilizce: Principle of Least Privilege
Yayın: · Son güncelleme:
En Az Yetki İlkesi Nedir? Kısaca
En az yetki ilkesi, her kullanıcıya, uygulamaya ve sisteme yalnızca görevini yerine getirmesi için gereken en düşük erişim yetkisinin, gerektiği süre boyunca verilmesini öngören temel güvenlik ilkesidir.
En az yetki ilkesi nedir?
En az yetki ilkesi, İngilizcede "Principle of Least Privilege" olarak geçer. Basit bir kurala dayanır: kimse işi için gerekenden fazlasına erişmemelidir. Bir muhasebe çalışanı finans klasörüne girebilir, ama sunucu ayarlarını değiştiremez.
İlke yalnızca insanlar için geçerli değildir. Bir uygulama, bir servis hesabı ya da bir telefon uygulaması da yalnızca ihtiyaç duyduğu izinlerle çalışmalıdır.
Neden önemlidir?
Bir hesap ele geçirildiğinde, saldırgan o hesabın yetkileriyle sınırlı kalır. Örneğin yönetici yetkisi olmayan bir çalışan bilgisayarında zararlı bir dosya açarsa, yazılım sisteme derinlemesine yerleşemeyebilir. Aynı dosya yönetici hesabıyla açılsaydı, zarar çok daha geniş olabilirdi.
İlke hataları da sınırlar. Yanlışlıkla silinen bir klasör, yalnızca o kişinin erişebildiği alanla sınırlı kalır.
Nasıl uygulanır?
Kurumlarda sık izlenen adımlar şunlardır:
- Rollere göre yetki grupları tanımlamak.
- Günlük işler için standart hesap, yönetim işleri için ayrı hesap kullanmak.
- Geçici ihtiyaçlarda süreli yetki vermek.
- Yetkileri birkaç ayda bir gözden geçirip kullanılmayanları kaldırmak.
En sık yapılan hata, departman değiştiren çalışanın eski yetkilerinin kapatılmamasıdır. Yıllar içinde biriken bu yetkiler büyük bir risk oluşturur. Evde de aynı mantığı uygulayabilirsiniz: bilgisayarınızda günlük işler için yönetici olmayan bir hesap açın ve telefon uygulamalarına yalnızca gerçekten gereken izinleri verin.
Sıkça Sorulan Sorular
En az yetki ilkesi çalışmayı zorlaştırır mı?
Doğru kurulduğunda zorlaştırmaz. Roller iyi tanımlanırsa çalışanlar ihtiyaç duydukları her şeye erişir; yalnızca gereksiz ve riskli yetkiler kaldırılır.
Telefon uygulamalarında en az yetki nasıl uygulanır?
Uygulamalara yalnızca işlevi için gereken izinleri verin. Örneğin bir hesap makinesi uygulamasının rehberinize ya da konumunuza erişmesine gerek yoktur.