CyberGlossary

Identidade e acesso

Princípio do menor privilégio

Também conhecido como: Menor privilégio, Necessidade de conhecer

Definição

Princípio de segurança que concede a cada utilizador, processo ou serviço apenas os privilégios estritamente necessários para desempenhar a sua função.

O princípio do menor privilégio (PoLP), formulado por Saltzer e Schroeder em 1975, determina que cada sujeito deve operar com o menor conjunto possível de permissões necessário à sua tarefa. Aplicado de forma consistente, limita o raio de impacto: uma conta, contentor ou serviço comprometido só consegue afetar o âmbito restrito ao qual tinha acesso. O PoLP molda o desenho de IAM (funções granulares, tokens com escopo), o hardening de sistemas (capabilities mínimas no Linux, evitar root), a arquitetura de software (separação de privilégios, sandboxing) e as estratégias zero-trust. Na prática, apoia-se em RBAC/ABAC, elevação temporária JIT, revisões periódicas de acessos e remoção de permissões não utilizadas com base em analítica de direitos.

Exemplos

  • Um microsserviço a usar um papel de base de dados que apenas lê as linhas necessárias, não todo o esquema.
  • Um programador a pedir direitos de admin com prazo limitado via JIT em vez de os ter permanentemente.

Termos relacionados