¿Cómo restrinjo el acceso para aplicar el principio de mínimo privilegio?
el equipo de heygrc
Otorga solo el acceso que cada rol o servicio necesita, niega por defecto y evita comodines. SOC 2 (CC6.1) verifica el acceso lógico, y el mínimo privilegio es lo que un auditor revisa: ¿puede cada identidad realizar solo lo que su función requiere, y nada más?
Limita las concesiones a la tarea específica
Asigna a un rol o token los permisos específicos que necesita (las acciones exactas sobre los recursos exactos), no un comodín amplio que los incluya por casualidad. El comodín es conveniente ahora y el hallazgo después.
Niega por defecto
Empieza sin acceso y añade solo lo necesario, así un vacío falla de forma segura. Un permiso por defecto con excepciones tiende a conceder acceso no intencionado.
Revisa el acceso cuando se amplía
Cuando un cambio amplía una concesión, ese es el momento de verificar si cumple con el mínimo privilegio, que es exactamente para lo que sirve una revisión en el diff.
statement {- actions = ["s3:*"]+ actions = ["s3:GetObject", "s3:PutObject"]}La concesión se reduce de todas las acciones de S3 a las dos que el servicio realmente utiliza.