سياسات الوصول والتجزئة

1) الغرض والمبادئ

الهدف: تقليل مخاطر التسريبات/الاحتيال والعواقب التنظيمية من خلال ضوابط صارمة «من وماذا ولماذا يمكنه الوصول»، مع إمكانية إثبات التدقيق.
المبادئ: Lest Privilege (الحد الأدنى من الحقوق)، Need-to-Know، Zero Trust، فصل الواجبات (SoD)، Just-In-Time (JIT)، إمكانية التتبع واستدعاء بنقرة واحدة.

2) تصنيف البيانات ومستويات الحماية

3) نموذج الوصول: RBAC + ABAC

المكتب الإقليمي لآسيا والمحيط الهادئ (الأدوار): مصفوفة «دور → حل» الأساسية.
ABAC (الخصائص): قواعد السياق (اختصاص اللاعب/المشغل، قطاع البيئة، حساسية المجموعة، التحول/الوقت، الجهاز، مستوى التحقق من KYC، مهمة/غرض الخدمة).

• يمكن لمحلل التسويق قراءة جداول "evens _' فقط للبلدان التي توجد فيها موافقة على التحليلات، فقط في أيام الأسبوع 08: 00-21: 00، فقط من شبكة الشركة/جهاز MDM، بدون حقول PII (يتم تمكين الإخفاء).

4) SoD - الفصل بين الواجبات (مكافحة الاحتيال والامتثال)

5) JIT، كسر الزجاج и PAM

JIT (في الوقت المناسب): يتم إصدار حقوق مرتفعة لفترة محدودة (15-120 دقيقة) لمهمة معينة ويتم إلغاؤها تلقائيًا.
زجاج الكسر: الوصول في حالات الطوارئ من خلال إجراء منفصل (تأكيد MFA + ثاني + غرض الإشارة الإلزامي)، والتسجيل الكامل للدورة والاستعراض اللاحق للوقائع.
PAM: للحسابات الإدارية - متاجر كلمات المرور، التحليلات السلوكية، المفتاح/التناوب السري، وكيل الجلسة مع التسجيل.

6) التجزئة: متوسطة وشبكية ومنطقية

6. 1 البيئات: 'prod' ≠' مرحلة '≠' dev '. لا يتم نسخ البيانات الطارئة إلى المرحلة/التطوير ؛ تستخدم مجموعات اصطناعية أو مستعملة.

• Edge/WAF/CDN → App Zone → Data Zone (DWH/DB) → Secrets/KMS.
• محيط الدفع (PSP/cards) معزول عن المحفز المشترك ؛ CCM/الجزاءات - جزء منفصل.
• 6. 3 التجزئة المنطقية: مساحات الأسماء (K8s)، معرفات المستأجر، مخططات DB/دليل البيانات، مفاتيح التشفير الفردية لكل مستأجر/منطقة.
• 6. 4 التجزئة الجغرافية: التخزين/المعالجة حسب الموقع (EC/UK/...) ؛ إرشادات التوجيه والمفاتيح في جميع أنحاء المنطقة.

7) وصول البائع والشريك

الميكانيكا: المستأجرون/الحسابات الفردية B2B، الحد الأدنى من نطاق واجهة برمجة التطبيقات، mTLS، السماح بقائمة IP، وقت النافذة.
العقود: إدارة الشؤون السياسية/جيش تحرير السودان (السجلات، وفترات الاحتفاظ، والجغرافيا، والحوادث، والمعالجات الفرعية).
الإقلاع: استدعاء المفتاح، تأكيد الحذف، إغلاق الفعل.
الرصد: تنبيهات بشأن الأحجام غير العادية، وحظر الصادرات الجماعية.

8) العمليات (SOP)

8. 1 الوصول إلى الطلب/التغيير

1. التطبيق على إدارة التنمية المتكاملة/شعبة خدمات تكنولوجيا المعلومات لغرض ومصطلح.
2. SoD/jurisdiction/data class التحقق التلقائي.
3. موافقة مالك المجال + الأمان/الامتثال (إذا تم تقييده +).
4. إصدار دليل التنفيذ المشترك/الوصول الدائم (المجموعة الدنيا).
5. قطع الأشجار: من/متى/ما يصدر ؛ تاريخ التنقيح.

8. 2 إعادة التصديق

كل ثلاثة أشهر: يؤكد المالكون حقوق الجماعات ؛ الحقوق غير المستخدمة تلقائيا (أكثر من 30/60 يوما).

8. 3 تصدير البيانات

فقط من خلال خطوط الأنابيب/العروض المعتمدة، وفقًا لقوائم التنسيقات البيضاء (CSV/Parquet/JSON)، والإخفاء الافتراضي، والتوقيع/التجزئة، وسجل التنزيل.

9) سياسة الجهاز وسياقه

MDM/EMM - الوصول مقيد/مقيد للغاية فقط من الأجهزة المدارة.
إشارات السياق: geo، معدل مخاطر الأجهزة، الوقت من اليوم، حالة MFA، سمعة IP - كما تميز ABAC.
ملحقات المتصفح/التقاط الشاشة: التحكم والسجل، حظر وحدات التحكم الحساسة.

10) أمثلة السياسات (مقتطفات)

10. 1 YAML (زائف) - ABAC لمحلل التسويق

yaml policy: read_analytics_no_pii subject: role:marketing_analyst resource: dataset:events_
condition:
consent: analytics == true data_class: not in [Restricted, HighlyRestricted]
network: in [corp_vpn, office_mdm]
time: between 08:00-21:00 workdays effect: allow masking: default logging: audit_access + fields_scope

10. 2 قناع SQL (فكرة)

sql
SELECT user_id_hash,
CASE WHEN has_priv('pii_read') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

11) الرصد والسجلات والتنبيهات

مسارات التدقيق: "اقرأ _ PII"، "EXPORT _ DATA"، "ROLE _ UPDATE"، "BREAK _ GLASs'،" الدفع _ الموافقة ".
KRIs: عمليات الوصول بدون 'غرض' = 0 ؛ ومحاولات التقييد الشديد خارج النافذة ؛ ونصيب الشيكات الفاشلة في عملية التحقُّق ؛ إفرازات غير طبيعية.
KPI:% من الطلبات مع JIT ≥ 80% ؛ ومتوسط وقت الوصول ≤ 4 ساعات ؛ تغطية إعادة التصديق بنسبة 100٪.
كتب اللعب SOAR: استدعاء تلقائي للتهديدات وتذاكر التحقيق.

12) الامتثال (خريطة قصيرة)

اللائحة العامة لحماية البيانات/اللائحة العامة لحماية البيانات في المملكة المتحدة: التقليل، الحاجة إلى المعرفة، توافق DSAR، تدقيق PII.
AML/KYC: الوصول إلى CCM/الجزاءات - فقط للأدوار المدربة، سجل القرار.
PCI DSS (إذا انطبق): فصل منطقة الدفع، حظر تخزين PAN/CSC، مفاتيح/استضافة منفصلة.
ISO/ISMS: سياسات الوصول الرسمية، ومراجعة الحسابات السنوية والاختبارات.

13) PACI

14) مقاييس النضج

تغطية قاعدة ABAC لمجموعات البيانات الحرجة ≥ 95٪.
جلسات JIT/جميع الارتفاعات ≥ 90٪.
وقت الإلغاء خارج الطائرة ≤ 15 دقيقة.
0 حوادث الدور ≠ الوظيفة (SoD).
100٪ من سجلات الوصول متاحة ويتم التحقق منها (توقيع/تجزئة).

15) القوائم المرجعية

15. 1 قبل منح الوصول

• تحديد الغرض والتاريخ ومالك البيانات
• تم التحقق من SoD/Jurisditions
• الحد الأدنى للنطاق/القناع الممكّن
• استيفاء شروط وزارة الخارجية/الآلية الإنمائية المتعددة الأطراف/الشبكة
• تاريخ قطع الأشجار ومراجعته

15. 2 مراجعة ربع سنوية

• التوفيق بين المجموعات والأدوار والهيكل التنظيمي
• حقوق «تعليق» السيارات
• التحقق من الصادرات غير العادية وزجاج الكسر
• تنبيهات التدريب والاختبار

16) السيناريوهات والتدابير النموذجية

أ) دور جديد «مدير VIP»

الوصول إلى ملفات تعريف VIP (مقنعة)، حظر التصدير، JIT لمشاهدة KYC لمرة واحدة عبر التذكرة.

باء) بائع لمراجعة الحسابات

اقرأ فقط على واجهات المتاجر بدون PII، قائمة السماح المؤقتة VPN +، تحظر حفظ سجل التنزيل محليًا.

C) وصول DevOps في حالات الطوارئ إلى Prod-DB

زجاج الكسر ≤ 30 دقيقة، جلسة التسجيل، ما بعد المراجعة مع DPO/الامتثال، CAPA للانتهاكات.

17) خارطة طريق التنفيذ

الأسابيع من 1 إلى 2: جرد البيانات/النظام، فئات البيانات، مصفوفة RBAC الأساسية، SoD.
الأسابيع 3-4: تنفيذ ABAC (السمات الأولى: البيئة، الجيولوجيا، فئة البيانات)، تيارات IDM، JIT/break-glass، PAM.
الشهر 2: الدفع وتقسيم محيط KYC، مفاتيح منفصلة/KMS، مجلات التصدير، تنبيهات SOAR.
الشهر 3 +: إعادة التصديق ربع السنوية، تمديد السمة (الجهاز/المخاطر)، أتمتة الإخفاء، التدريبات المنتظمة.

TL; د

نموذج الوصول القوي = تصنيف البيانات → RBAC + ABAC → SoD + JIT/PAM → التجزئة الصلبة → السجلات والتنبيهات. هذا يقلل من احتمالية التسريبات وإساءة الاستخدام، ويسرع التدقيق، ويبقي المنصة ضمن حدود GDPR/AML/PCI والمعايير الداخلية.