职责划分和访问级别

1）目标和原则

• 消除对关键交易（金钱/PII/合规性）的单独控制，
• 降低欺诈/错误风险，
• 确保监管机构和内部审计的可核查性。

原则：零信任·Least Privilege· Need to Know· SoD （4-eyes）· Traceability· Revocability（快速召回）。

2）数据分类和访问级别

3）权利模型： RBAC+ABAC

RBAC：跨域角色（支持，VIP，付款，AML，KYC，FRM，BI，DevOps，DPO，Legal）。
ABAC：上下文属性（环境，地理，数据类，设备/MDM，时间，KYC级别，访问目标"purpose"，设备风险）。

ABAC条件示例：BI分析师只能在工作日上午08：00-21：00 从公司网络/MDM中读取没有PII的"events_"，只要有积极的隐私培训即可。

4） SoD-不兼容函数的矩阵

5）访问级别和类型

Read-ly/Masked Read： BI/Support的默认值。
Scoped Write：服务/法规中的更改（例如,键入桉例注释）。
特权管理：仅通过PAM（密码保存，会话代理，会话记录，秘密轮换）。
API/Service Accounts：最小核对,单个按键集成,mTLS。

6) JIT и break-glass

JIT（Just-in-Time）：针对特定股票的临时权利提升（15-120分钟），自动召回，强制性"purpose"。
破玻璃：MFA+第二次确认的紧急访问，会议记录，Security+DPO后评论，违规事件自动发布。

7）流程（SOP）

7.1请求/更改访问（IDM/ITSM）

1.使用"purpose"，截止日期和数据所有者的应用程序。
2.SoD/数据类/司法管辖区的自动反驳。
3.域名所有者+Security的批准（对于Restricted+）。
4.发出JIT/永久访问（最低限度）。
5.进入权利登记册（审查日期，召回SLA）。

7.2权利再认证

每季度，所有者都会确认组/用户的权利。
对未使用权利进行自检（>30/60天）。

7.3数据导出

仅通过批准的店面/管线；默认掩码；收件人/格式的白名单；签名/散列；上载日志。

8）控制供应商/合作伙伴

单独的B2B tenant，最小API漏洞，allow-list IP，时间窗口。
DPA/SLA：访问日志、保留时间、地理、事件、子处理器。
离岸外包：召回钥匙，确认删除，关闭行为。

9）与安全和合规性集成

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.

SIEM/SOAR：不带有"purpose"/超出窗口/地理位置的异常体积/访问的异常值。
GDPR/AML/PCI：需要了解，DSAR兼容性，支付外围隔离，用于日志的WORM。

10）示例策略（片段）

10.1 VIP经理政策

蒙面查看配置文件，禁止导出，JIT通过tiket单次查看KYC。

10.2营销分析师

只有没有PII的单位；在工作时间内，从MDM设备获得同意（CMP标志）访问权限。

10.3 Pseudo-YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12）度量标准和KRIs/KPIs

Coverage ABAC：在属性规则下≥ 95%的关键集。
JIT-rate：≥ 80%的权利提升与JIT一样。
离开TTR：自解雇/停用以来召回访问≤ 15分钟。
没有"purpose"的异常访问：=0（KRI）。
季刊recertification： 100%的角色/组得到确认。
出口合规性：100%的出口签名/点燃。

13）支票单

13.1在授予访问权限之前

• 定义为"purpose"、期限、数据所有者
• SoD/司法管辖区/数据类验证已通过
• 包括最小scope+蒙面
• MFA/MDM/网络条件满足
• 设置日志和修订日期

13.2季度审计

• 将组/角色与组织结构核对
• 撤回未使用的权利
• 检查破玻璃和主要出口
• 确认培训（隐私/安全）

14）示范情景和措施

A）工程师需要临时访问prod-DB

JIT 30-60分钟，通过PAM，评论后和CAPA记录的违规会议。

B）新会员要求卸载玩家

仅聚合/匿名；如果PII是合同，法律依据，字段白名单，日志/签名，有限的参考期。

C） VIP经理希望看到KYC文档

禁止直接进入；通过AML/KYC进行查询，通过JIT进行单位发出，完整的字段日志。

15）实施路线图

1-2周：系统/数据清单，分类，基本RBAC矩阵，基本SoD表。
第三至第四周：引入ABAC（星期三/地理/类别/MDM），JIT和断面玻璃，PAM启动，出口日志。
第2个月：CUS/支付周界细分，单个密钥/KMS，SOAR-Alerta SoD/ABAC违规。
月3+：季度再认证，属性扩展（设备风险/时间），蒙版自动化，定期平板操作。

TL;DR

可靠的访问模型=数据分类→ RBAC+ABAC → SoD与4-eyes → JIT/PAM以及严格的审计→定期的重新认证和出口控制。这减少了滥用的可能性，并加快了审计/监管检查的通过。