أقل قدر من الصلاحيات

ينبغي أن يحصل الشخص على الصلاحيات التي يحتاج إليها لأداء عمله، من دون صلاحيات إضافية لا يستخدمها. يُسمّى هذا مبدأ أقل الصلاحيات. كما أنه يحدّ مما يستطيع المهاجم الوصول إليه إذا سرق حساب ذلك الشخص.

على سبيل المثال، افترض أن آفا تعمل في المحمصة، لكن أُضيفت أيضًا إلى مجموعة marketing عن طريق الخطأ. تحقّق مما تمنحه لها تلك المجموعة:

seclab groups marketing

ينبغي أن ترى:

marketing: the newsletter and the shop's pages
  members: ava, mia

تتيح المجموعة لآفا تغيير النشرة الإخبارية وصفحات المتجر. لا تحتاج إلى أيٍّ منهما لتحميص القهوة، لذا أزلها من مجموعة marketing:

seclab remove ava marketing

ينبغي أن ترى:

Removed ava from marketing.

يؤدي هذا إلى إزالة الصلاحيات الإضافية، مع إبقاء عضويتها في مجموعتي roastery وstaff. لا يزال بإمكانها أداء عملها.