最低權限原則（PoLP）是網絡保安的概念，用戶應只存取工作所需的特定資源、數據及應用程式。
目錄
為回應遙距、混合及雲端工作環境的成長，最低權限的原則已演變為零信任網絡存取（ZTNA）2.0框架的一部分。
最低權限原則的目標是減少因入侵及蓄意或意外地在資訊科技系統、數據及應用程式資料洩漏而造成的損害。它透過嚴格限制所有用戶存取關鍵資源及敏感數據來實現這一點。這包括實施實務和程序，例如：
- 將用戶存取許可（或“權限”）限制在任務所需的絕對最低限度內
- 持續定期審查存取及授權權限，以減少、調整或撤銷不再需要的權限
- 通過將職責分開並將不同職責分配給獨立職位，防止任何單一員工存取太多系統
為什麼最低特權的原則很重要？
資料洩漏每年會導致損失數十億美元的生產力、復原成本及聲譽受損。當獲授權用戶的帳戶被黑客入侵或被網絡罪犯竊取時，就會出現相當多的洩漏。
透過限制每個用戶在按需知道的基礎上可以存取的數據、系統及資源，最低權限的原則使機構能夠：
- 盡量減少受攻擊面
- 強化整體保安狀態
- 透過減少黑客攻擊及人為錯誤的機會來減低保安風險
- 透過減少黑客在取得未經授權存取時可能遭受的損害來遏制數據洩漏及入侵
- 保護資訊科技網絡及應用程式免受各種網絡威脅及網絡攻擊，包括惡意程式及勒索程式、內部威脅、意外及惡意數據洩露及數據盜竊
因為最低權限原則能增強機構保護敏感或機密資料的能力，所以最低權限原則亦協助企業維持符合政府及行業資料私隱法規。其中包括歐盟通用資料保護法規、支付卡產業資料安全標準（PCI DSS）、加州消費者私隱法（CCPA）及健康保險可攜性及責任法（HIPAA）。
應用最低特權原則的主要挑戰是什麼？
隨著混合式工作、遙距工作及雲端服務的使用持續擴展，企業在應用最低權限原則方面正面臨著幾個關鍵挑戰，包括：
- 管理日趨多元化及複雜的資訊科技系統、保安需要及工作環境
- 在保安要求與預算限制、易用需求及用戶生產力之間取得平衡
- 確保在不同系統、應用程式及職位上貫徹執行存取權限
- 處理用戶阻力及建立企業文化，將保安視為必要而非不便
實施最少權限原則的最佳實務例子
機構應遵循多項最佳實踐，以克服實施最低權限原則的挑戰，並保護資訊科技系統及數據。包括：
- 對現有存取系統及權限進行盤點，以分析用戶現時可存取的數據及原因
- 標記擁有比完成工作所需更多權限的帳戶
- 預設將新用戶設定為最低權限等級，並僅在嚴格要求時新增權限
- 採用基於角色的存取控制（RBAC）以按角色劃分權限，並根據工作要求分配存取權
- 採用自動化存取管理工具，例如身份及存取管理（IAM）、保安資訊及事件管理（SIEM）及特權存取管理（PAM），保護系統及數據，而又不會令資訊科技或保安團隊難以負荷
- 對所有存取權限進行定期及持續審計，以識別不再需要的權限，並盡可能降低存取級別
我可以在哪裡獲得最低權限原則的協助？
為協助機構強化保安狀態，Trend Vision One™ 提供整合功能，支援零信任原則，包括最低權限的原則。Trend Vision One 透過整合整個環境的風險視野、存取控制及威脅偵測，讓團隊持續評估及執行存取政策。
李兆熙
產品管理副總裁
李兆熙是趨勢科技產品管理副總裁，負責領導企業電郵與網絡資訊保安方案的全球策略與產品開發。他在資訊科技和網絡資訊保安領域累積了 30 多年的經驗，其職業生涯涵蓋基礎架構設計、數據中心營運及資訊保安領導。他早期的事業包括建立歐洲和日本的資訊科技部門，與及管理台灣和菲律賓的保安運作中心，令他深入了解企業面對的挑戰。
這個根基協助他開發符合真實世界需要的創新及可擴充方案。李兆熙以其策略性前瞻、全球產品團隊指導及推動跨部門合作的能力聞名，提供市場領先的資訊保安產品。
常見問題
最低權限原則是甚麼意思？
最低權限原則是一個網絡保安概念，讓用戶只存取工作所需的數據及系統。
甚麼是特權蠕變及如何避免？
當員工轉換工作，但保留不再需要的存取權限時，就會出現權限失效。定期檢視權限可避免權限出現漏洞。
最低權限原則的例子是甚麼？
最低權限原則的一個例子是允許市務人員登入 CRM 系統，但不能存取客戶資訊。
甚麼是最低權限原則的最佳做法？
最低權限原則的最佳做法之一是將所有新員工預設為最低存取權限。
零信任與最低權限原則有何分別？
零信任管控對系統或資料的存取。最低權限的原則是用戶可以如何處理該存取。
簡單來說甚麼是零信任？
零信任是一種網絡保安方式，無論來自何處，都集中於驗證機構系統或數據的每一個存取要求。
最低權限原則如何減低保安風險？
最低權限的原則是限制授權用戶及網絡罪犯都能存取的系統及數據，從而減低保安風險。
機構如何在雲原生應用程式或容器等動態環境中執行最低權限？
最低權限的原則可以在動態環境中執行，方法是採用基於工作角色而非用戶身份的存取政策。
應多久審查或更新一次用戶權限？
為達致最大安全性，用戶權限應定期及持續檢討及更新。
最低權限原則如何整合至 DevSecOps 工作流程？
通過實施基於角色的存取控制（RBAC）、及時（JIT）存取和自動權限等做法，最低權限原則可以整合到 DevSecOps 中。