Áp dụng quyền tối thiểu mà không chặn công việc hợp lệ

Chính sách truy cập không khả thi nếu công việc thông thường cũng cần tài khoản quản trị. Chính sách cũng không đạt mục tiêu nếu mọi người đều được cấp quyền rộng để tránh chậm trễ. Khách hàng nên yêu cầu phương án cân bằng: đủ quyền cho nhiệm vụ xác định, đường duyệt ngoại lệ rõ ràng và bằng chứng rằng quyền bổ sung thực sự kết thúc.

Mô tả công việc trước khi chọn vai trò

OWASP định nghĩa quyền tối thiểu là chỉ cấp các quyền cần thiết để hoàn thành công việc. Nguyên tắc áp dụng giữa các chức năng công việc, không chỉ giữa các cấp quản lý.[1] Hãy bắt đầu từ nhiệm vụ thực tế thay vì sao chép chức danh trên sơ đồ tổ chức.

Với mỗi nhiệm vụ, ghi dữ liệu liên quan, thao tác được phép và phạm vi thường lệ. Điều phối kho có thể cần chi tiết lô hàng nhưng không cần bảng lương. Người duyệt tài chính có thể duyệt hoàn tiền mà không được sửa thông tin nhận dạng khách hàng. Yêu cầu chủ sở hữu nghiệp vụ xác nhận các khác biệt này trước khi tạo vai trò.

Ngoại lệ phải rõ ràng và có thời hạn

Nên xây dựng quy trình ngoại lệ có người yêu cầu, người phê duyệt, lý do nghiệp vụ, phạm vi và thời điểm hết hạn. Quyền khẩn cấp cần có thủ tục kiểm soát riêng. Nhân viên hỗ trợ không nên tự nghĩ cách cấp quyền trong lúc xảy ra sự cố.

OWASP khuyến nghị mặc định từ chối và định kỳ rà soát tình trạng quyền tích lũy vượt quá nhu cầu ban đầu.[1] Hãy chuyển khuyến nghị thành câu hỏi vận hành. Ai rà soát quyền còn giữ sau khi chuyển vị trí? Điều gì xảy ra khi người phê duyệt nghỉ việc? Tài khoản dịch vụ nào vẫn đang dùng vai trò vốn dành cho con người?

Ví dụ giả định: nhiệm vụ hoàn tiền tạm thời

Trong một doanh nghiệp bán vé giả định, giám sát dịch vụ thay người khác duyệt hoàn tiền trong thời gian vắng mặt. Giám sát được cấp quyền cho một hàng đợi xác định, không phải toàn bộ quyền tài chính. Quyền tự kết thúc tại mốc đã thống nhất.

Buổi diễn tập xác nhận giám sát xử lý được khoản hoàn hợp lệ, không đổi được cấu hình chi trả và mất quyền bổ sung sau đó. Nếu phiên đang mở vẫn giữ quyền cũ, nhóm phải xử lý trước khi dựa vào cơ chế hết hạn tự động. Đây là thiết kế đề xuất, không phải kết quả đo từ khách hàng thực tế.

Danh sách rà soát quyền thực tế

Rà soát thiết kế cùng nhân viên vận hành, không chỉ với quản trị viên. Đi hết một nhiệm vụ thường lệ và một ngoại lệ, từ yêu cầu đến thu hồi.

• Chỉ định chủ sở hữu nghiệp vụ cho từng vai trò và đường xử lý ngoại lệ.
• Tách quyền phê duyệt khỏi quyền đổi cấu hình không liên quan.
• Kiểm thử nhiệm vụ thông thường bằng tài khoản có quyền hẹp nhất dự kiến.
• Xác nhận quyền tạm thời hết hạn trên phiên đang mở và các tích hợp.
• Xóa quyền không còn cần sau thay đổi vị trí hoặc khi nhà cung cấp rời đi.

Cân bằng độ chi tiết và công sức quản trị

Vai trò quá chi tiết có thể trở nên khó hiểu. Quá nhiều ngoại lệ cũng có thể che khuất chính sách thực tế. Nên giữ một số vai trò dễ giải thích, rồi bổ sung phạm vi tài nguyên hoặc quan hệ được duyệt khi cần. Rà soát cả công việc hợp lệ bị từ chối lẫn quyền cấp quá rộng. Mục tiêu không phải tăng hạn chế tối đa, mà là hỗ trợ việc cần làm mà không để lại thẩm quyền thiếu lý do.