--- id: CP-197 slug: minimalne-uprawnienia-dostep-jit lang: pl title: Zasada najmniejszych uprawnień i dostęp Just-In-Time description: Zasada najmniejszych uprawnień ogranicza prawa do tego, co niezbędne, a dostęp Just-In-Time przyznaje je na ograniczony czas. Co robi pracownik. canonical_url: https://startbrain.io/cyberpedia/pl/articles/minimalne-uprawnienia-dostep-jit/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/minimalne-uprawnienia-dostep-jit.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Zasada najmniejszych uprawnień i dostęp Just-In-Time”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/minimalne-uprawnienia-dostep-jit/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-029 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/minimalne-uprawnienia-dostep-jit/ fr: https://startbrain.io/cyberpedia/fr/articles/moindre-privilege-acces-jit/ en: https://startbrain.io/cyberpedia/en/articles/least-privilege-just-in-time-access/ de: https://startbrain.io/cyberpedia/de/articles/minimale-rechte-just-in-time-zugriff/ es: https://startbrain.io/cyberpedia/es/articles/minimo-privilegio-acceso-jit/ it: https://startbrain.io/cyberpedia/it/articles/minimo-privilegio-accesso-jit/ nl: https://startbrain.io/cyberpedia/nl/articles/minimale-rechten-just-in-time-toegang/ pt: https://startbrain.io/cyberpedia/pt/articles/minimo-privilegio-acesso-jit/ sources: - "n": 1 title: least privilege - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/least_privilege accessed: "2026-11-03" - "n": 2 title: Qu’est-ce que Microsoft Entra Privileged Identity Management ? publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 3 title: Meilleures pratiques pour les rôles Microsoft Entra publisher: Microsoft url: https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Authorization - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html accessed: "2026-11-03" - "n": 6 title: Privileged Account Management, Mitigation M1026 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 7 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 8 title: Zero Trust Maturity Model publisher: CISA url: https://www.cisa.gov/zero-trust-maturity-model accessed: "2026-11-03" - "n": 9 title: User Account Management, Mitigation M1018 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" --- # Zasada najmniejszych uprawnień i dostęp Just-In-Time Zasada najmniejszych uprawnień (ang. least privilege) jest regułą bezpieczeństwa: system powinien ograniczać prawa dostępu użytkowników, a także programów działających w ich imieniu, do minimum potrzebnego do wykonania przydzielonych zadań [1]. Pracownik, który musi tylko czytać folder, nie powinien mieć możliwości jego usunięcia. Dostęp Just-In-Time (dokładnie na czas) rozwija tę myśl w odniesieniu do uprawnień podwyższonych. Użytkownicy otrzymują tymczasowe uprawnienia do wykonywania zadań uprzywilejowanych, a dostęp jest przyznawany dopiero wtedy, gdy go potrzebują [2]. Po upływie wyznaczonego czasu dostęp uprzywilejowany jest automatycznie usuwany [3]. ## W 30 sekund - Gdzie to występuje: na każdym stanowisku i w każdej usłudze, w których istnieją uprawnienia administratora, na przykład w administracji Microsoft 365 lub firmowego katalogu użytkowników [2]. - Czego chce atakujący: wykorzystać istniejące konto i jego uprawnienia, co czasem pozwala mu uniknąć użycia złośliwego oprogramowania i utrudnia wykrycie jego obecności [4]. - Odruch: prosić o podwyższony dostęp na ograniczony czas i z jasnym uzasadnieniem, nigdy nie pożyczać swoich uprawnień administratora i zgłaszać uprawnienia, które nie są już potrzebne. - Jeśli już to zrobiono: poinformować dział IT, który podczas przeglądu dostępów może odebrać uprawnienia, które przestały być potrzebne [3]. ## Pytania wprost ### Dlaczego ograniczać uprawnienia zaufanego pracownika? Organizacje ograniczają liczbę osób mających dostęp do zasobów wrażliwych, aby zmniejszyć dwa ryzyka: że złośliwy użytkownik uzyska dostęp do tych danych oraz że uprawniony użytkownik przez nieuwagę wpłynie na zasób wrażliwy [2]. Microsoft dodaje, że ograniczenie ról i zakresów zmniejsza liczbę zasobów zagrożonych w razie przejęcia konta [3]. ### Co w praktyce oznacza „just-in-time”? Pracownik nie ma stałego prawa administratora. Jest „uprawniony” do roli i aktywuje ją, gdy ma wykonać zadanie uprzywilejowane. Aktywacja może wymagać weryfikacji wieloskładnikowej, uzasadnienia służbowego lub zgody wyznaczonej osoby zatwierdzającej [2]. Po aktywacji rola pozostaje dostępna przez z góry określony okres, a potem użytkownik musi aktywować ją ponownie [2]. ### Czy zasada najmniejszych uprawnień dotyczy tylko administratorów? Nie. OWASP opisuje ją jako regułę stosowaną na wszystkich poziomach: księgowy i handlowiec zajmują to samo miejsce w hierarchii, ale nie potrzebują tych samych zasobów. Księgowy nie powinien mieć dostępu do bazy klientów, a handlowiec do danych płacowych [5]. ### Co się dzieje, gdy wniosek o dostęp wygaśnie? Według dokumentacji Microsoftu, gdy przypisanie roli zbliża się do wygaśnięcia, użytkownik może poprosić o przedłużenie. Gdy już wygaśnie, może poprosić o odnowienie. Oba wnioski wymagają zatwierdzenia przez administratora globalnego lub administratora ról uprzywilejowanych [2]. ## Jak to działa Opisane tu działanie opiera się na narzędziu Privileged Identity Management firmy Microsoft, jednym z przykładów spośród wielu. Administrator przypisuje rolę użytkownikowi, grupie lub tożsamości usługi. Przypisanie określa zakres (rola obowiązuje tylko dla danego zbioru zasobów), typ (uprawniony lub aktywny) oraz czas trwania, z datami początku i końca albo bez ograniczenia [2]. Aby aktywować rolę, do której jest uprawniony, użytkownik wybiera czas aktywacji mieszczący się w granicach ustalonych przez administratorów i podaje powód wniosku [2]. Narzędzie może wymagać zatwierdzenia, narzucać uwierzytelnianie wieloskładnikowe, wysyłać powiadomienia przy aktywacji i przechowywać historię audytu [2]. MITRE wymienia też role efemeryczne innych dostawców chmury, służące do przyznawania podwyższonych uprawnień na ograniczony czas [6]. Microsoft zaleca łączenie kilku mechanizmów kontroli, ponieważ żadna pojedyncza funkcja nie obejmuje wszystkich przypadków. Jego przykład: rola niestandardowa ograniczona do jednostki administracyjnej, tak aby administrator regionalnego wsparcia mógł resetować hasła tylko w swoim regionie. Aktywacja odbywa się następnie przez PIM, z zatwierdzeniem, a dostęp warunkowy wymaga urządzenia zgodnego z zasadami i uwierzytelniania wieloskładnikowego [3]. Brytyjskie NCSC definiuje podejście „zero trust” tak: zaufanie wynikające z samej sieci zostaje usunięte, sieć jest uznawana za wrogą, a każde żądanie jest weryfikowane względem polityki dostępu [7]. CISA wiąże z nim decyzje o dostępie według zasady najmniejszych uprawnień, podejmowane dla każdego żądania osobno [8]. ## Co Pan/Pani robi - Proszę prosić o dostęp w chwili potrzeby, na czas dopasowany do zadania i ze szczegółowym uzasadnieniem. Uzasadnienie podane przy aktywacji pozwala zrozumieć, dlaczego rola została użyta [2]. - Proszę używać wąskiej roli odpowiadającej zadaniu. Microsoft odradza przypisywanie szerszych ról lub ról o większym zakresie, nawet jeśli wydają się wygodniejsze [3]. - Proszę zachować swoje uprawnienia administratora dla siebie. Aktywacji roli dokonuje użytkownik, powoduje ona powiadomienie, a historia audytu ją zachowuje [2]. OWASP zauważa, że bez prawidłowego rejestrowania zdarzeń naruszenia dostępu nie da się czasem przypisać żadnej osobie [5]. - Przy zmianie zespołu lub zadań proszę poprosić o odebranie uprawnień z poprzedniej funkcji. Microsoft zauważa, że bez audytu osoby zmieniające zespół gromadzą niepotrzebne dostępy [3]. - Proszę odpowiadać na przeglądy dostępów: służą one do sprawdzenia, czy użytkownicy nadal potrzebują swoich ról [2]. - Proszę włączyć uwierzytelnianie wieloskładnikowe na kontach administracyjnych. Microsoft podaje, że według jego badań takie konto jest o 99,9 % mniej narażone na przejęcie [3]. ## Pułapki Gromadzące się uprawnienia. OWASP nazywa „privilege creep” sytuację, w której uprawnienia użytkowników przekraczają te określone na początku. Zaleca okresowy przegląd i przypomina, że łatwiej dodawać uprawnienia, niż je odbierać [5]. Stałe konta administracyjne. Stały dostęp uprzywilejowany to dokładnie to, co PIM ma wyeliminować u użytkowników z rolą uprzywilejowaną [3]. Microsoft zaleca, by rolę administratora globalnego miało mniej niż pięć osób, a przypisań ról uprzywilejowanych było mniej niż 10, ponieważ role te umożliwiają podniesienie uprawnień [3]. Przewiduje jeden wyjątek: dwa konta dostępu awaryjnego, przypisane na stałe, niepowiązane z osobami i zarezerwowane na sytuacje „break glass” [3]. Zapomniane konta. MITRE zwraca uwagę, że przeciwnicy mogą nadużywać kont nieaktywnych, na przykład osób, które odeszły z organizacji, ponieważ dawnego użytkownika nie ma już, by zauważyć nietypową aktywność [4]. MITRE zaleca też wyłączanie kont po okresie nieaktywności (30 dni jako przykład) i usuwanie kont bez właściciela podczas audytów [9]. Zbyt silne konta usług. Przypisania ról mogą dotyczyć podmiotów usług lub tożsamości zarządzanych, tak samo jak osób [2]. W przypadku administratorów Microsoft wyróżnia trzy aspekty przypisania roli: określony zestaw uprawnień, w określonym zakresie, na określony okres [3]. Te same dane logowania wszędzie. MITRE niepokoi się nakładaniem się uprawnień między kontami lokalnymi, domenowymi i chmurowymi: przeciwnik może przechodzić z jednego konta na drugie aż do wysokiego poziomu dostępu, takiego jak administrator domeny [4]. ## Rzeczywiste przypadki ### 2015: atak na ukraińską sieć elektroenergetyczną Według MITRE podczas ataku z 2015 roku na ukraińską sieć elektroenergetyczną grupa Sandworm Team użyła prawidłowych kont w sieci firmowej, aby podnieść swoje uprawnienia, poruszać się bocznie i zadomowić się tam na dłużej [4]. Źródło nie podaje, jakie uprawnienia miały te konta. ## Źródła 1. NIST, „least privilege - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/least_privilege (dostęp 3 listopada 2026) 2. Microsoft, „Qu’est-ce que Microsoft Entra Privileged Identity Management ?”. https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (dostęp 3 listopada 2026) 3. Microsoft, „Meilleures pratiques pour les rôles Microsoft Entra”. https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise”. https://attack.mitre.org/techniques/T1078/ (dostęp 3 listopada 2026) 5. OWASP, „Authorization - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Privileged Account Management, Mitigation M1026 - Enterprise”. https://attack.mitre.org/mitigations/M1026/ (dostęp 3 listopada 2026) 7. NCSC (Royaume-Uni), „Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (dostęp 3 listopada 2026) 8. CISA, „Zero Trust Maturity Model”. https://www.cisa.gov/zero-trust-maturity-model (dostęp 3 listopada 2026) 9. MITRE ATT&CK, „User Account Management, Mitigation M1018 - Enterprise”. https://attack.mitre.org/mitigations/M1018/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/minimalne-uprawnienia-dostep-jit/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.