Mínimo privilegio (Least privilege)
El mínimo privilegio es el principio de conceder a cada identidad solo el acceso que necesita para su tarea, y nada más. En una intrusión es el control que decide las consecuencias: no impide que el atacante entre, decide hasta dónde puede llevarle la primera cuenta que comprometa.
El principio no lo discute nadie y la práctica falla igual en todas partes: los permisos se conceden en el momento en que algo está roto y no se retiran nunca, porque nadie puede demostrar que retirarlos sea seguro. A lo largo de los años eso produce identidades cuyos derechos concedidos no guardan ninguna relación con lo que usan de verdad, y la diferencia es invisible mientras no la mida algo.
Se aplica con más fuerza a las identidades que no son personas. Una cuenta de servicio, una credencial de tubería o una identidad de carga de trabajo tienen un cometido estrecho y estable, así que la distancia entre lo que pueden hacer y lo que hacen es a la vez mayor y más fácil de cerrar que en el caso de una persona. En los parques cloud esa medida es lo que las herramientas de CIEM existen para dar, y en el caso de los administradores humanos es lo que la gestión de accesos privilegiados acota con tiempo y con aprobación.
En un proyecto, esto es lo que determina si una cuenta comprometida es una observación o el hallazgo alrededor del cual se construye el informe. Cogemos la identidad que obtuvimos y enumeramos a qué llega de verdad, y después lo comparamos con lo que usó según los registros disponibles. La recomendación que sale de ahí es un conjunto concreto de permisos que retirar con la evidencia de que no se usaban, que es una afirmación distinta y mucho más accionable que una instrucción de aplicar el mínimo privilegio. Esa medida forma parte de las pruebas de cloud donde los permisos efectivos se miden en vez de suponerse.