Least Privilege

Wat is Least Privilege?

Least Privilege (het principe van de minste bevoegdheden) is een beveiligingsprincipe waarbij elke gebruiker, dienst, applicatie en elk apparaat alleen de rechten krijgt die strikt nodig zijn om de eigen taak uit te voeren, en niet meer dan dat. Wie minder mag, kan bij een fout, een gestolen account of malware ook minder schade aanrichten. In OT-omgevingen helpt Least Privilege voorkomen dat ongeautoriseerde handelingen op kritieke systemen plaatsvinden, bewust of onbewust. Het principe is een pijler onder Zero Trust en Defense in Depth en komt terug in vrijwel elke beveiligingsnorm, van IEC 62443 tot NIST SP 800-53.

🧠 Waar komt het principe van Least Privilege vandaan?

Least Privilege werd in 1975 geformuleerd door Jerome Saltzer en Michael Schroeder in het artikel The Protection of Information in Computer Systems, gepubliceerd in de Proceedings of the IEEE. Hun definitie luidt vrij vertaald: elk programma en elke gebruiker van het systeem moet werken met de kleinst mogelijke set rechten die nodig is om de taak uit te voeren.

Het was één van acht ontwerpprincipes voor beveiligde systemen. Saltzer en Schroeder noemden twee voordelen die nog steeds gelden:

• Schadebeperking - een ongeluk, fout of aanval kan alleen gebruikmaken van de rechten die het getroffen account of programma heeft
• Minder ongewenste interactie - hoe minder interacties er zijn tussen programma’s met verhoogde rechten, hoe kleiner de kans op onbedoeld of oneigenlijk gebruik van die rechten; bij een vermoeden van misbruik hoeven bovendien minder programma’s te worden onderzocht

Twee verwante principes uit dezelfde lijst zijn fail-safe defaults (toegang standaard weigeren, alleen expliciet toestaan) en separation of privilege (voor kritieke handelingen meer dan één sleutel vereisen). Samen vormen ze de basis van moderne toegangscontrole.

🔧 Hoe werkt Least Privilege in de praktijk?

Least Privilege is geen product maar een ontwerpkeuze die op elk niveau terugkomt:

1. Elke gebruiker, dienst of component krijgt exact de toegangsrechten die nodig zijn voor specifieke functies
2. Toegang tot systeemfuncties, netwerksegmenten of apparaten wordt beperkt via RBAC, ACL’s en, in Windows-omgevingen, Group Policy vanuit Active Directory of Entra ID
3. Machtigingen worden regelmatig gecontroleerd en ingetrokken als ze niet meer nodig zijn
4. Beperkingen gelden voor gebruikersaccounts, serviceaccounts, applicaties, netwerkverkeer en toegang op afstand
5. In combinatie met Logging, SIEM en IAM blijft zichtbaar wie wat mag en wie wat heeft gedaan

🔄 Hoe verhoudt Least Privilege zich tot need-to-know, functiescheiding en PAM?

Least Privilege wordt vaak in één adem genoemd met andere begrippen. Ze versterken elkaar, maar zijn niet hetzelfde:

Het grootste risico is privilege creep: medewerkers die van functie wisselen, houden hun oude rechten en krijgen er nieuwe bij. Periodieke herbeoordeling van rechten is daarom even belangrijk als het correct toekennen ervan.

🏭 Hoe past u Least Privilege toe in OT-netwerken?

In OT is Least Privilege lastiger dan in IT, omdat veel besturingen geen of beperkt gebruikersbeheer kennen en omdat beschikbaarheid altijd voorgaat. Typische aandachtspunten:

• Gedeelde operatoraccounts - veel HMI-stations draaien op één gedeeld account dat 24/7 ingelogd blijft. Gebruik rollen in de SCADA-software zelf, geef operators alleen toegang tot hun eigen proceszone of werkstation en zorg dat het onderliggende Windows-account geen adminrechten heeft.
• Engineeringrechten - alleen engineers mogen wijzigingen aanbrengen in PLC’s of SCADA. Beperk programmeertoegang tot aangewezen engineering stations en gebruik de beveiligingsopties van de PLC, zoals wachtwoordbescherming en een fysieke of softwarematige run/program-stand.
• Leverancierstoegang - toegang op afstand voor leveranciers loopt via een jump server met persoonlijke accounts, MFA, tijdsrestricties en sessieregistratie. Permanente VPN-verbindingen zijn een bekende zwakke plek; zie ook Supplier Security.
• Serviceaccounts - accounts voor back-up, historian of antivirus krijgen alleen de rechten die de dienst nodig heeft, en geen interactieve login.
• Firewallregels - Least Privilege geldt ook voor het netwerk. Sta tussen zones alleen de benodigde bron, bestemming, poort en richting toe via netwerksegmentatie, VLAN’s en het zones-en-conduits-model. Regels als “any-any” horen niet in een OT-netwerk; firewallregelbeheer houdt de regelset schoon.

Belangrijk is dat Least Privilege nooit een noodingreep mag blokkeren. Een operator moet een proces altijd veilig kunnen stoppen, ook als de domeincontroller onbereikbaar is. Daarom werken OT-systemen vaak met lokale noodaccounts in een verzegelde envelop of kluis.

🔐 Wat zeggen IEC 62443, NIST en ISO 27001 over Least Privilege?

In IEC 62443 is Use Control de tweede van zeven foundational requirements. FR 1 regelt wie u bent (identificatie en authenticatie), FR 2 regelt wat u daarna mag. Voor Nederlandse organisaties werkt NIS2 door via de Cyberbeveiligingswet, die op 15 augustus 2026 zonder overgangstermijn in werking is getreden; toegangsbeleid op basis van Least Privilege is daarmee een concrete zorgplicht voor essentiële en belangrijke entiteiten.

🧭 Hoe voert u Least Privilege stap voor stap in?

1. Inventariseer accounts en rechten - breng alle persoonlijke, gedeelde, service- en leveranciersaccounts in kaart, inclusief lokale accounts op HMI’s en engineering stations.
2. Definieer rollen - bijvoorbeeld operator, shiftleider, procesengineer, onderhoudstechnicus, OT-beheerder en leverancier. Leg per rol vast welke systemen en functies nodig zijn.
3. Scheid beheer van dagelijks werk - geef beheerders een apart account en laat bevoorrechte toegang via PAM en een jump server lopen.
4. Verwijder overbodige rechten - ontneem lokale adminrechten, sluit standaardaccounts af en wijzig standaardwachtwoorden.
5. Beperk netwerkpaden - vertaal de rollen naar firewallregels tussen zones en conduits.
6. Log en bewaak - stuur inlog-, wijzigings- en rechtenwijzigingsgebeurtenissen naar een SIEM en reageer op gebruik van bevoorrechte accounts buiten werktijd.
7. Herbeoordeel periodiek - controleer rechten ten minste jaarlijks en direct bij functiewissel of uitdiensttreding, automatiseer het intrekken van rechten waar mogelijk en neem dit mee in de interne audit.

Veelgemaakte fouten zijn een “tijdelijke” uitzondering die nooit wordt ingetrokken, serviceaccounts met domeinbeheerrechten en leveranciersaccounts die na een project actief blijven. Het Amerikaanse CISA en de NSA noemden in 2023 een gebrekkige scheiding tussen gebruikers- en beheerrechten als tweede van de tien meest voorkomende misconfiguraties.

⚖️ Wat is het verschil tussen Least Privilege en standaard adminrechten?

❓ Veelgestelde vragen

Wat betekent Least Privilege in het Nederlands?

Least Privilege betekent het principe van de minste bevoegdheden of minimale rechten. Elke gebruiker, dienst of elk apparaat krijgt alleen de rechten die nodig zijn voor de eigen taak. Het begrip wordt in Nederland meestal in het Engels gebruikt.

Wat is het verschil tussen Least Privilege en Zero Trust?

Least Privilege is een principe dat bepaalt hoeveel rechten een account of systeem krijgt. Zero Trust is een bredere architectuur waarin geen enkele verbinding standaard wordt vertrouwd en elke toegang opnieuw wordt gecontroleerd. Least Privilege is één van de bouwstenen van Zero Trust.

Is Least Privilege verplicht onder NIS2?

NIS2 noemt toegangsbeleid in artikel 21 expliciet als verplichte maatregel voor essentiële en belangrijke entiteiten. Least Privilege wordt niet letterlijk als term opgelegd, maar is de gangbare invulling van dat toegangsbeleid. In Nederland is dit uitgewerkt in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is.

Hoe pas ik Least Privilege toe bij gedeelde operatoraccounts?

Bij gedeelde operatoraccounts beperkt u het onderliggende Windows-account tot standaardgebruikersrechten zonder beheerrechten. Gebruik daarnaast de gebruikersrollen in de SCADA- of HMI-software, zodat handelingen zoals setpointwijzigingen per persoon worden geautoriseerd en gelogd. Persoonlijke accounts met snelle badge- of kaartlogin zijn een goed alternatief waar dat technisch kan.

Wat is privilege creep?

Privilege creep is het geleidelijk ophopen van rechten bij een gebruiker die van rol wisselt en oude rechten behoudt. Het ondermijnt Least Privilege zonder dat iemand dat bewust kiest. Periodieke herbeoordeling van rechten en een vast proces voor in-, door- en uitstroom voorkomen privilege creep.

Welke rol speelt PAM bij Least Privilege?

Privileged Access Management (PAM) beheert, beveiligt en registreert het gebruik van beheeraccounts. Met PAM krijgen beheerders verhoogde rechten alleen tijdelijk en voor een specifieke taak, en worden sessies opgenomen. Daarmee is PAM een van de belangrijkste technische middelen om Least Privilege af te dwingen.

📌 Samengevat

Least Privilege beperkt de rechten van gebruikers, diensten, applicaties en apparaten tot wat écht nodig is, zodat fouten, insider threats en aanvallen zo weinig mogelijk schade kunnen aanrichten. Het principe uit 1975 komt terug in IEC 62443, NIST SP 800-53 en ISO 27001, en vraagt in OT om een zorgvuldige balans tussen beveiliging en beschikbaarheid.