Vad är minsta behörighet?
Minsta behörighet är principen att en användare, ett system eller en AI-agent bara ska ha den åtkomst som uppgiften kräver.
Principen har länge funnits inom informationssäkerhet. NIST beskriver den som att varje användare eller process får de resurser och behörigheter den behöver för sin funktion, och inget mer.
Ju mindre åtkomst, desto mindre skada kan ett misstag, ett kapat konto eller en lurad modell orsaka. Det gäller för människor och program på samma sätt.
För AI blir principen särskilt tydlig. En AI-assistent ska bara kunna läsa det användaren själv har rätt att se, och en AI-agent ska bara kunna utföra de handlingar som uppgiften kräver.
Så fungerar det
I praktiken handlar det om roller och avgränsningar. En roll får läsa vissa mappar, en annan får även ändra. För en AI-agent kan det betyda att den får läsa kalendern men behöver ett godkännande för att boka, eller att den får skriva utkast som en människa sedan skickar.
Behörigheten bör också vara avgränsad i tid. Åtkomst som bara behövs under ett projekt tas bort när projektet är klart.
Därför spelar det roll
Principen begränsar följderna när något går fel. Om en modell luras genom promptinjektion kan den bara göra det som behörigheterna tillåter. Med snäva gränser från början blir ett misstag lättare att överblicka och rätta.
Att tänka på
Se upp med konton som delas mellan flera verktyg eller personer. Då går åtkomsten inte att avgränsa, och loggen visar inte vem som gjorde vad.
Kombinera principen med fyraögonsprincipen för de ändringar som påverkar mest, som nya roller eller utökade behörigheter.
Vad det betyder för er
Gå igenom vilka behörigheter era AI-verktyg har fått. När ett verktyg installeras är det lätt att ge mer än det behöver.
Vanliga frågor
Gäller minsta behörighet också för AI?
Ja. En AI-assistent ska aldrig kunna läsa mer än användaren, och en AI-agent ska bara ha de rättigheter som uppgiften kräver.
Hur kommer vi i gång?
Börja med de konton och verktyg som når mest, och fråga vad de faktiskt behöver. Läs mer om behörighetsstyrning.
Källor: NIST om least privilegeBehörighetsstyrning hos IMY
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad