====== Bezpečnostní standardy a princip minimálních práv ======

**Bezpečnostní standardy** a **princip minimálních práv** (angl. *Principle of Least Privilege* – **PoLP**) tvoří základní pilíře moderní kybernetické bezpečnosti, správy IT systémů a ochrany dat. Zatímco standardy poskytují rámec a osvědčené postupy pro nastavení bezpečnostní politiky, princip minimálních práv zajišťuje, že uživatelé, procesy a aplikace disponují pouze takovými oprávněními, která nezbytně potřebují k vykonání své činnosti, a ničím navíc.

===== Princip minimálních práv (PoLP) =====

Princip minimálních práv je jedním z nejstarších a nejúčinnějších konceptů v oblasti informační bezpečnosti. Poprvé jej zformuloval Peter Denning v roce 1974.

* **Základní myšlenka:** Každý program, proces nebo uživatel by měl mít přístup pouze k těm informacím a prostředkům, které nutně potřebuje ke splnění svého konkrétního úkolu. Pokud je např. potřeba pouze číst data, účet nesmí mít právo je upravovat nebo mazat.
* **Ochrana před šířením incidentu:** Pokud dojde kompromitaci účtu nebo aplikace (např. přes zranitelnost v [[API Security]]), útočník získá pouze omezená práva spojená s tímto konkrétním prvkem, nikoliv celkovou kontrolu nad systémem.
* **Příklad v praxi:** Webový server zpracovávající veřejné požadavky nesmí běžet pod administrátorským účtem (`root` v Linuxu nebo `Administrator` ve Windows), ale pod vyhrazeným a omezeným systémovým uživatelem (např. `www-data` nebo `nginx`).

===== Vztah k řízení přístupů ([[IAM – Identity and Access Management|IAM]]) =====
Uplatnění PoLP v organizacích úzce souvisí se správou identit:
* **RBAC (Role-Based Access Control):** Přístupy jsou přidělovány na základě rolí v organizaci (např. účetní, vývojář, administrátor).
* **JIT (Just-In-Time) přístupy:** Oprávnění k citlivým operacím (např. přístup do produkční databáze) se udělují pouze na vyžádání a na omezenou dobu.

===== Významné bezpečnostní standardy a rámce =====

Bezpečnostní standardy pomáhají organizacím zavést systematický přístup k řízení rizik, dodržování regulací a ochraně majetku. Mezi nejvýznamnější globální standardy patří:

===== 1. ISO/IEC 27001 =====
Mezinárodní standard pro **Systémy managementu bezpečnosti informací (ISMS)**. 
* Definuje požadavky na zavedení, implementaci, údržbu a neustálé zlepšování bezpečnosti informací v organizaci.
* Součástí je příloha ISO/IEC 27002, která obsahuje desítky konkrétních bezpečnostních opatření (včetně řízení přístupů a šifrování).

===== 2. NIST Cybersecurity Framework (CSF) =====
Rámec vyvinutý americkým National Institute of Standards and Technology.
* Poskytuje strukturovaný pohled na kybernetickou bezpečnost rozdělený do pěti klíčových fází: **Identify** (Identifikovat), **Protect** (Chránit), **Detect** (Detekovat), **Respond** (Reagovat) a **Recover** (Obnovit).
* Je široce využíván jak v komerční sféře, tak v kritické infrastruktuře.

===== 3. PCI DSS (Payment Card Industry Data Security Standard) =====
Specializovaný bezpečnostní standard určený pro všechny entity, které zpracovávají, uchovávají nebo přenášejí údaje o platebních kartách.
* Klade extrémní důraz na šifrování dat, segmentaci sítě, pravidelné testování zranitelností a striktní uplatňování **principu minimálních práv** pro přístup k finančním datům.

===== Shrnutí přínosů =====
Kombinace dodržování mezinárodních standardů a důsledné aplikace principu minimálních práv výrazně snižuje tzv. *attack surface* (povrch útoku) organizace, minimalizuje dopady lidských chyb a pomáhá plnit přísné legislativní požadavky na ochranu osobních a firemních dat.

===== Související pojmy =====
* [[IAM – Identity and Access Management]]
* [[API Security]]
* [[WAAP]]

{{tag>security compliance isms niso governance bestpractices}}