Privilege creep

czym to jest

Privilege creep to wzorzec, w którym konto z czasem gromadzi uprawnienia, bo dodawany jest nowy dostęp, a stary nie jest usuwany. Dzieje się to przez zmiany ról, przypisania do projektów, tymczasowe granty i doraźne wnioski.

Efektem są konta z dostępem znacznie szerszym, niż wymaga tego ich bieżąca rola czy funkcja. Osoba stojąca za kontem może nie używać większości tego dostępu, może nawet nie wiedzieć o jego istnieniu, ale on istnieje i można go użyć.

Privilege creep to systemowy efekt środowisk, w których domyślnie dodaje się dostęp, a proces jego usuwania nie działa konsekwentnie. Nie powoduje go żadna pojedyncza zła decyzja dostępowa.

dlaczego się gromadzi

Mechanika jest prosta. Dostęp jest dodawany w odpowiedzi na wnioski. Użytkownik czegoś potrzebuje, składa wniosek, dostaje go. Wniosek jest wyzwalaczem. Usunięcie nie ma odpowiadającego wyzwalacza w większości środowisk. Nikt nie składa wniosku, gdy potrzeba wygasa.

Zmiany ról to najczęstsze źródło. Gdy ktoś przechodzi z jednego zespołu do drugiego, dostaje dostęp wymagany przez nową rolę. Dostęp z poprzedniej roli powinien zostać przejrzany i w większości usunięty. W praktyce nowy dostęp jest dodawany, a stary pozostaje. Nikt nie jest właścicielem kroku przeglądu.

Tymczasowe granty to kolejne źródło. Użytkownik potrzebuje podwyższonego dostępu do konkretnego zadania czy projektu. Dostaje go z założeniem, że jest tymczasowy. Projekt się kończy, dostęp nie. Nie było mechanizmu do ustawienia wygaśnięcia ani procesu sprawdzającego, kiedy potrzeba zniknęła.

Przez wieloletnią historię zatrudnienia każda z tych warstw się nakłada. Konto może skończyć z uprawnieniami z trzech poprzednich ról, dwóch tymczasowych projektów i kilku jednorazowych wniosków, do których nikt nie wrócił.

co to kosztuje

Konsekwencją bezpieczeństwa privilege creep jest szerszy blast radius, jeśli to konto zostanie przejęte. Verizon DBIR 2026 odnotowuje, że użycie skradzionych danych uwierzytelniających było czynnikiem w 36% naruszeń. Gdy przejęte konto ma więcej, niż wymaga jego bieżąca rola, atakujący dziedziczy to wszystko.

Jest też wymiar ryzyka wewnętrznego. Pracownik, który nie ma już uzasadnionego powodu, żeby uzyskać dostęp do systemu, wciąż może to zrobić. Przez większość czasu może to być nieszkodliwe. Nie zawsze.

Konsekwencja compliance jest taka, że least privilege to udokumentowane oczekiwanie w większości frameworków bezpieczeństwa. SOC 2, ISO 27001 i DORA adresują tę zasadę. Środowisko z systematycznym privilege creep nie może wykazać, że jest ona stosowana. Przeglądy dostępów to mechanizm ujawniania i korygowania tego, ale przeglądy są skuteczne tylko wtedy, gdy dane, na których pracują, są dokładne i kompletne.

co działa

Pomiarem, który ujawnia privilege creep, jest porównanie tego, co ma każde konto, z tym, czego wymaga jego bieżąca rola, co zakłada dwa artefakty: bieżący eksport dostępów i udokumentowany zestaw definicji ról. Tam, gdzie ten drugi nie istnieje, napisanie go jest prawdziwym pierwszym krokiem, bo bez definicji ról każde uprawnienie wygląda na uzasadnione.

Prawdopodobieństwo koncentruje pracę. Osoby, które kilkukrotnie przechodziły między zespołami czy rolami, to najbardziej prawdopodobni nosiciele nagromadzonych uprawnień, więc idą na czoło kolejki przeglądu. Niedopasowanie funkcji to drugi silny sygnał: użytkownik z marketingu z dostępem do systemu CI/CD inżynierii, użytkownik z operacji z uprawnieniami administracyjnymi w narzędziu finansowym. Dostęp do systemów spoza bieżącej funkcji użytkownika rzadko przetrwa uczciwe spojrzenie.

Dane o użyciu rozstrzygają przypadki graniczne. Uprawnienie nieużywane przez zdefiniowany okres, zwykle 90 dni, to kandydat do usunięcia niezależnie od tego, czy wygląda na pasujące do roli, na prostej zasadzie, że dostęp, z którego nikt nie korzysta, niesie ryzyko i nic w zamian nie daje.

Trwałe rozwiązanie tkwi w procesie JML. Środowiska, które pozostają szczupłe, traktują krok mover jako prawdziwe zdarzenie: zmiana roli wyzwala przegląd uprawnień starej roli, a te niepotrzebne znikają dokładnie w momencie, gdy pojawiają się nowe. Okresowe przeglądy dostępów wychwytują potem wszystko, co przeoczył krok mover, zamiast dźwigać cały ciężar samodzielnie.