資訊安全基礎
下列何者是符合最小權限原則的做法？
- A為了減少作業的工夫，給所有人管理員權限
- B為了簡化權限設定，讓所有人都能讀寫所有檔案
- C只給使用者與程式業務所需的最低限度權限，平時的作業以非管理員的帳號進行
查看答案與解析
正確答案：C. 只給使用者與程式業務所需的最低限度權限，平時的作業以非管理員的帳號進行
最小權限原則是只給使用者、程式與服務帳號完成其角色所需之最低限度權限的想法。限縮權限後，即使帳號遭盜用、惡意軟體執行或操作失誤，也能縮小損害的範圍。例如平時收發電子郵件與瀏覽網頁使用一般權限的帳號，只有在需要的作業時才使用管理員權限。對於資訊，也有「只讓需要知道的人知道（need-to-know）」的想法，只讓業務上需要的人存取。在調職或離職時立即撤銷不再需要的權限也很重要。
- A. 所有人都有管理員權限時，只要一個帳號遭盜用，整個系統就會陷入危險。
- B. 讓業務上不需要的人也能讀寫，會擴大資訊外洩與竄改的範圍。
- C. 正確。只給予所需的最低限度權限，以縮小損害範圍。