En az yetki ilkesi, bir hesap veya sistem ele geçirildiğinde saldırganın erişebileceği alanı sınırlar. Bu ilke, sıfır güven mimarisinin ve erişim kontrolünün temel taşlarından biridir.
Uygulama örnekleri:
- Çalışanlar günlük işlerini yönetici olmayan hesaplarla yapar; yönetici yetkisi ayrı hesaplarda tutulur.
- Dosya paylaşımlarına ve uygulamalara rol temelli erişim verilir.
- Geçici yetkiler belirli bir süre sonunda otomatik olarak kaldırılır.
- Servis hesaplarına yalnızca ihtiyaç duydukları izinler tanımlanır.
- İşten ayrılan veya görev değiştiren personelin erişimleri derhal güncellenir.
Yetkiler zamanla birikme eğilimindedir (yetki birikmesi). Bu yüzden erişim hakları düzenli aralıklarla, örneğin yılda en az bir kez, sistem sahipleri tarafından gözden geçirilmelidir. KVKK kapsamında da kişisel verilere erişimin yetkiyle sınırlandırılması beklenen teknik tedbirler arasındadır.