Il permission creep è l'accumulo graduale di diritti di accesso che non sono più necessari. Si verifica quando gli utenti cambiano ruolo, gli accessi temporanei vengono lasciati attivi, i gruppi vengono annidati o i permessi ereditati vengono aggiunti senza una successiva pulizia. Nel tempo, un account può ottenere un ambito di accesso molto più ampio di quanto richieda il suo ruolo attuale.
Nella sicurezza informatica, il permission creep è importante perché compromette silenziosamente il principio del privilegio minimo. Un account compromesso con privilegi eccessivi può leggere file sensibili, modificare dati o spostarsi lateralmente senza dover aggirare controlli tecnici. Anche gli insider e gli account obsoleti possono creare lo stesso rischio. Negli ambienti di condivisione file, il problema è spesso nascosto nei permessi di condivisione, nei permessi del filesystem e nell'appartenenza ai gruppi, quindi l'effettivo accesso è più difficile da vedere rispetto alle impostazioni che gli amministratori ricordano di aver modificato.
I difensori riducono il permission creep tramite revisioni periodiche degli accessi, una forte responsabilità sulla gestione dei dati condivisi, log di audit e rimozione dei diritti inutilizzati o ereditati. L'automazione può aiutare a individuare permessi obsoleti, ma sono le policy e le revisioni a mantenere l'accesso allineato alle esigenze aziendali.