Un principio de seguridad que establece que a los sujetos (usuarios, procesos, sistemas) debería concedérseles el conjunto mínimo de derechos de acceso necesarios para desempeñar sus funciones legítimas, y no más.

Principio

Los privilegios se minimizan y se otorgan según la necesidad de realizar una tarea, preferiblemente con denegación por defecto y revisiones continuas; separación y control de escaladas limitan el radio de impacto de fallos y compromisos.

Demostración

Un sistema operativo ejecuta servicios con cuentas separadas y sin privilegios; una base de datos expone sólo las columnas necesarias a una aplicación mediante una vista restringida; runtimes de contenedores eliminan capacidades no requeridas por el proceso contenido.

Aplicación incorrecta

Aplicar restricciones excesivas que rompan flujos de trabajo legítimos (p. ej., denegar comunicaciones interproceso esenciales) o implementar roles demasiado gruesos que sobreprivilegian o tan finos que se vuelven inmanejables y provocan soluciones inseguras.

Consecuencia

Cuando se aplica adecuadamente, reduce la superficie de ataque y el impacto potencial de una intrusión, simplifica la auditoría y hace manejable la contención de fallos; combinado con defensa en profundidad mejora la postura de seguridad.

Inversión

Una política de privilegios completos por defecto (privilegio máximo) que facilita la operación a corto plazo pero aumenta el riesgo sistémico y el alcance del daño ante una mala configuración o violación.

Límite

Se aplica a la autorización y asignación de capacidades a usuarios, procesos, servicios y dispositivos; no prescribe mecanismos de autenticación ni prácticas de gestión de claves, ni garantiza inmunidad frente a escaladas de privilegios explotando otras vulnerabilidades.

Tensión semántica

Tensión entre el principio de menor privilegio y la usabilidad, el rápido desarrollo o la conveniencia operativa; también entre menor privilegio y necesidades de 'break-glass' donde se requiere elevación temporal.

Síntesis

El principio de menor privilegio es una regla de gobernanza para minimizar los derechos concedidos a lo estrictamente necesario, implementado mediante diseño de roles, restricción de capacidades, denegación por defecto y monitorización—equilibrado con necesidades operativas para evitar fricciones contraproducentes.