ISO27001:2013 标准（和 ISO27002:2013 指南）要求应限制和控制可能能够覆盖系统和应用程序控制的“实用程序”的使用 (A.9.4.4)。
例如，我在http://en.wikipedia.org/wiki/Utility_program中寻找灵感，发现很难确定什么是“特权实用程序”，因为大多数可能是“双重用途” ，即如果在没有特权的情况下使用它们将是安全的（并且有用！），但如果提升了用户特权，它们可能会带来风险。
几乎？在大多数环境中，将其解释为包括：
这是否旨在成为有关设置实用程序访问权限的策略？ 这是实现目标的一种方式。
其他组织在这方面有什么政策？
我一开始只允许系统管理员访问服务器操作系统，因此只允许他们使用任何类型的系统实用程序（这应该实现 ISO27002:2013、9.4.4i、b 和 c）。随着越来越多的应用程序通过 HTTP 交付，这变得越来越容易。
然后，包括删除不必要的实用程序在内的系统强化将是一个很好的第二优先活动。
它实际上应该是什么意思？ 我已经向至少十名外部审计员提出了这个问题，但没有得到一致的答案。
一两个人认为它在某些大型机操作系统的时代更有意义，但我还没有看到太多的主要证据。唯一的参考是：
http: 
//pubs.usgs.gov/of/1991/0329/report.pdf
这适用于http://en.wikipedia.org/wiki/RSX-11系统，手册页的日期为 1991 年。
你可以很容易地争辩说，精心设计的系统上的所有程序（除了漏洞利用）都不能“覆盖系统安全控制”。他们可能会使用操作系统允许的增强权限，但肯定不会覆盖控件。
特权实用程序是需要某种级别的系统或管理特权才能完成其工作的应用程序。
一个很好的例子是防病毒应用程序，因为这需要对系统进行非常低级别的访问才能检测某些类型的病毒。
正如您所说，并非这些应用程序的所有功能都可能需要特权访问，但它们在操作的某些方面需要它。
通常，重要的是用户不应从其普通用户帐户访问特权功能。一旦他们这样做，恶意软件就更容易在系统中站稳脚跟。正是出于这个原因，您不应该允许管理员帐户访问一般办公软件，例如电子邮件，因为获得访问权限变得微不足道（正如我所知道的最近的一次审计显示的太清楚了！）。
更新：只是为了澄清你的 2 个具体问题：
其他政策：
关注点分离是主要政策。管理员应该拥有电子邮件/办公室/等的标准帐户，并且仅在真正需要时才使用特权帐户。
检查审计日志对于敏感系统也很重要。如果不关注审计，你永远无法确定发生了什么。
年度健康检查包括针对管理员的网络钓鱼攻击。帮助确保他们遵守政策和标准安全实践。
可能需要对敏感区域的员工进行审查或安全检查。
对最敏感系统（例如 PKI 主 CA）的访问受到额外访问日志和理由的严格限制。
windows (vista+) 的特权程序将是任何触发 UAC（如果启用）的程序
linux（包括android）的特权程序将是任何需要以root身份运行或通过su/sudo运行的程序
大多数组织限制其员工的权利，使他们没有“管理员权限”，而是通过组策略推送更新/安装/程序，使用单独的管理员帐户，而不是用户用于登录目的的帐户
在定义和实施策略方面，将此类实用程序置于现有密码策略的范围内，使系统和服务帐户获得授权的程序，避免默认设置，拥有所有使用特权帐户的此类实用程序、工具和应用程序的清单；不时查看日志，查看访问配置文件和监控。
话虽如此，单独对此类帐户执行密码策略是一项更具挑战性的任务。如果您是 SMB/SME 组织，则更具挑战性。你需要从某个地方开始。您可以从此类帐户的清单开始，并每月对其进行审查。这将带来更大的意识和洞察力。
希望这会很有用。