مبدأ الحقوق الدنيا المطلوبة

1) الغرض والتعريف

الغرض: عدم السماح للمستخدم/الخدمة إلا للموارد الضرورية تماما لأداء مهمة معينة، ولأدنى فترة كافية وفي الحد الأدنى من الحجم.
التعريف: «الحد الأدنى من خطوط العرض (الموارد)، والعمق (العمليات)، والوقت (TTL)، والسياق (الجغرافي/الجهاز/التحول)، والحساسية (PII/finance)».

2) المبادئ الأساسية للتنفيذ

1. الحاجة إلى المعرفة: يرتبط كل حق بغرض محدد (أساس).
2. تحديد الوقت: الحقوق المرتفعة الممنوحة مع TTL (JIT) ؛ حقوق دائمة - اقرأ/مقنعة فقط.
3. النطاق المقيد: الوصول محدود بسبب الإيجار/المنطقة/العلامة التجارية/المشروع (تحديد نطاق المستأجر/المنطقة).
4. تقليل البيانات إلى أدنى حد: يتم إخفاء PII افتراضيًا ؛ إزالة القناع - فقط على أرض صريحة.
5. إمكانية التتبع: أي → دخول + «الغرض »/« تذكرة _ معرف».
6. الإلغاء: ردود الفعل السريعة (الإقلاع عن العمل ≤ 15 دقيقة، JIT - التعليقات التلقائية).

3) الاتصال مع الضوابط الأخرى

RBAC: يحدد من يستطيع من حيث المبدأ (الدور الأساسي).
ABAC: يحدد تحت أي ظروف (geo، device/MDM، time، KYC المستوى، الخطر).
SoD: يحظر مجموعات الأدوار الخطيرة، ويتطلب 4 عيون للإجراءات الحساسة.
التجزئة: محيط الشبكة/المنطقي (الدفع، KYC، DWH، الأسرار).
PAM/JIT/break-glass: ضمان إصدار الامتيازات المؤقتة وتسجيلها.

4) تصنيف الموارد والعمليات

العمليات: "اقرأ"، "مقنع _ اقرأ" (افتراضي لـ PII)، "اكتب" (نطاق)، "موافقة _' (4 عيون)،" تصدير "(من خلال واجهات المتاجر فقط، توقيع/مجلة).

5) هندسة حقوق الوصول إلى المهمة

1. قصة المستخدم → الغرض: «يحتاج المحلل إلى إنشاء تقرير تحويل من الاتحاد الأوروبي بدون PII».
2. قائمة الموارد: عرض «agg _ conferences _ eu».
3. العمليات: «اقرأ» (بدون PII)، حظر «EXPORT _ RAW».
4. سياق ABAC: ساعات العمل، VPN/MDM، المنطقة = الاتحاد الأوروبي.
5. TTL: قراءة مقنعة مستمرة ؛ JIT لكشف القناع لمرة واحدة (إذا لزم الأمر).
6. الجذوع: «اقرأ »/« تصدير» مع «الغرض» و «الحقول _ النطاق».

6) الإخفاء وكشف القناع الانتقائي

إخفاء البريد الإلكتروني/الهاتف/IBAN/PAN افتراضياً ؛

الوصول غير المقنع ('pii _ unmask') - فقط JIT + 'الغرض' + تأكيد مالك المجال/الامتثال ؛

في التقارير - التجميعات/عدم الكشف عن الهوية، حظر «العينات الصغيرة» (عتبات الخصوصية).

7) الامتيازات المؤقتة: JIT وكسر الزجاج

JIT: 15-120 دقيقة، تذكرة، سيارة، تدقيق كامل.
كسر الزجاج: الوصول في حالات الطوارئ (التأكيد الثاني لولاية MFA +، تسجيل الجلسة، الأمن + DPO بعد المراجعة).
PAM: آمن سري، وكيل الجلسة، تناوب الامتياز.

8) العمليات (SOP)

8. 1 منحة الوصول (IDM/ITSM)

1. المطالبة 'الغرض'، الموارد، TTL/المثابرة.
2. SoD/jurisdiction/data class/category التحقق التلقائي.
3. موافقة مالك النطاق ؛ для مقيدة + - الأمن/الامتثال.
4. إصدار نطاق أدنى (غالباً ما يكون مقنعاً).
5. القيد في سجل الحقوق: تاريخ المراجعة، استدعاء جيش تحرير السودان.

8. 2 إعادة التصديق (ربع سنوي)

يؤكد مالك المجال كل دور/مجموعة ؛ الحقوق غير المستخدمة (أكثر من 30/60 يومًا) - تلقائي.

8. 3 تصدير البيانات

لا يتم ذلك إلا من خلال واجهات المتاجر المعتمدة ؛ والقوائم البيضاء ؛ التوقيع/التجزئة ؛ قم بتنزيل سجل PII - غير شخصي افتراضيًا.

9) مراقبة البائع/المعالج الفرعي

الحد الأدنى من نطاقات واجهة برمجة التطبيقات، المفاتيح الفردية لكل دمج، قائمة السماح IP، نوافذ الوقت.
DPA/SLA: الأدوار، وسجلات الوصول، والاحتفاظ، والجغرافيا، والحوادث، والمعالجات الفرعية.
الإقلاع: استدعاء المفتاح، تأكيد الحذف، إغلاق الفعل.

10) مراجعة الحسابات والرصد

Журналы: «ROLE _ SIGN/REVOKE»، «JIT _ GRANt'،» READ _ PII «،» EXPORT _ DATA «،» PAYING _ ADVANVE E ED E E E A A A A A A A A.
SIEM/SOAR: تنبيهات الوصول بدون «غرض»، أحجام غير طبيعية، مهلة/جو، انتهاك SoD.
WORM: نسخة غير معدلة من جذوع الأشجار + سلسلة هاش/توقيع.

11) مقاييس النضج (KPI/KRI)

التغطية: النسبة المئوية للأنظمة الحيوية للمكتب الإقليمي لآسيا والمحيط الهادئ/ABAC ≥ 95٪.
نسبة القراءات المقنعة: 95٪ ≥ من المكالمات إلى PII مقنعة.
معدل JIT: ≥ 80٪ من الارتفاعات هي JIT.
TTR: إلغاء الحقوق ≤ 15 دقيقة.
الصادرات: توقيع 100٪ من الصادرات وتسجيلها.
انتهاكات SoD: = 0 ؛ محاولات - كتلة تلقائية/تذكرة.
تنظيف الوصول الخامل: يتم حذف ≥ 98٪ من حقوق التعليق في غضون 24 ساعة.

12) السيناريوهات النموذجية

أ) عرض KYC لمرة واحدة لعميل VIP

أساسي: قراءة مقنعة في مدير VIP.
الإجراء: الوصول إلى JIT «pii _ unmask» لمدة 30 دقيقة على التذكرة، التسجيل الميداني/سجل الشاشة، ما بعد المراجعة.

B) يحتاج المهندس إلى الوصول إلى prod-DB

فقط بعد PAM + JIT ≤ 60 دقيقة، جلسة مسجلة، حظر «SELECT» من قبل PII، بعد المراجعة و CAPA للانتهاكات.

C) تقرير BI حسب البلد

الوصول إلى الوحدات التي لا يوجد بها مؤشر استثمار دولي ؛ مرشح ABAC: «منطقة في [المنطقة الاقتصادية الأوروبية]»، VPN/MDM، الساعة 08: 00-21: 00.

13) الأنماط المضادة وكيفية تجنبها

«الأدوار الفائقة «/الميراث بدون حدود → تنقسم إلى أدوار مجال، تشمل ABAC.
الامتيازات الدائمة «فقط في حالة» → JIT + auto.
نسخ بيانات الطرائد للتطوير/المرحلة → التسمية/المواد التركيبية.
تصدير PII خارج واجهات المتاجر → القائمة البيضاء، التوقيع، المجلة، القناع.
عدم وجود «غرض» → كتلة صلبة وتذكرة تلقائية.

14) RACI (موسع)

15) القوائم المرجعية

15. 1 قبل منح الوصول

• محدد «purode» و TTL
• تم التحقق من SoD/Jurisditions
• الإخفاء الافتراضي، النطاق الأدنى
• شبكة شروط ABAC/الجهاز/الوقت/المنطقة
• تاريخ قطع الأشجار ومراجعته

15. 2 ربع سنوي

• تنقيح الأدوار/المجموعات، حقوق «الشنق» التلقائية
• التحقق من الصادرات غير العادية وزجاج الكسر
• تدريب مؤكد على الخصوصية/الأمان

16) خارطة طريق التنفيذ

الأسابيع من 1 إلى 2: جرد البيانات/النظم، والتصنيف، ومصفوفة الأدوار الأساسية، وتمكين الإخفاء الافتراضي.

الأسابيع 3-4: ABAC (الأربعاء/geo/MDM/time)، JIT و PAM، قوائم التصدير البيضاء، سجلات «الغرض»

الشهر 2: أتمتة الإقلاع، تنبيهات SOAR (بدون «الغرض »/الشذوذ)، إعادة التصديق ربع السنوية.
الشهر 3 +: تمديد السمات (مخاطر مستوى/جهاز CUS)، وعتبات الخصوصية، وتمارين الطاولة العادية.

TL; د

أقل امتياز = الحد الأدنى من النطاق + إخفاء PII + سياق ABAC + JIT/PAM + التدقيق الصعب والاستدعاء السريع. يجعل الوصول قابلاً للإدارة، ويقلل من مخاطر التسريبات/الاحتيال، ويسرع عمليات التدقيق.