Πολιτικές πρόσβασης και κατάτμηση

1) Σκοπός και αρχές

Στόχος: ελαχιστοποίηση του κινδύνου διαρροών/απάτης και κανονιστικών συνεπειών μέσω αυστηρών ελέγχων «ποιος, τι και γιατί έχει πρόσβαση», με δυνατότητα απόδειξης του ελέγχου.
Αρχές: Ελάχιστο προνόμιο (ελάχιστα δικαιώματα), ανάγκη γνώσης, μηδενική εμπιστοσύνη, διαχωρισμός καθηκόντων (SoD), Just-in-Time (JIT), ιχνηλασιμότητα και ανάκληση ενός κλικ.

2) Ταξινόμηση και επίπεδα προστασίας των δεδομένων

3) Μοντέλο πρόσβασης: RBAC + ABAC

RBAC (ρόλοι): βασικός πίνακας «role → resolution».
ABAC (χαρακτηριστικά γνωρίσματα): κανόνες πλαισίου (δικαιοδοσία παίκτη/χειριστή, περιβαλλοντικό τμήμα, ευαισθησία συνόλου, βάρδια/χρόνος, συσκευή, επίπεδο επαλήθευσης KYC, εργασία/σκοπός υπηρεσίας).

• Ο αναλυτής μάρκετινγκ μπορεί να διαβάσει τους πίνακες "events _' μόνο για χώρες όπου υπάρχει συναίνεση για την ανάλυση, μόνο τις καθημερινές 08: 00-21: 00, μόνο από το εταιρικό δίκτυο/συσκευή MDM, χωρίς πεδία PII (η κάλυψη είναι ενεργοποιημένη).

4) SoD - διαχωρισμός των καθηκόντων (καταπολέμηση της απάτης και συμμόρφωση)

5) JIT, γυαλί θραύσης и PAM

JIT (Just-in-Time): τα αυξημένα δικαιώματα εκδίδονται για περιορισμένο χρονικό διάστημα (15-120 λεπτά) για συγκεκριμένη εργασία και ανακαλούνται αυτόματα.
Υαλοπίνακες θραύσης: πρόσβαση έκτακτης ανάγκης μέσω χωριστής διαδικασίας (ΜΧΣ + δεύτερη επιβεβαίωση + υποχρεωτικός σκοπός ένδειξης), πλήρης καταγραφή της συνεδρίας και εκ των υστέρων εξέταση.
PAM: για τους διαχειριστικούς λογαριασμούς - καταστήματα κωδικών πρόσβασης, ανάλυση συμπεριφοράς, εναλλαγή κλειδιού/μυστικού, διαμεσολαβητής συνεδρίας με εγγραφή.

6) Κατάτμηση: μέσο, δίκτυο και λογική

6. 1 Περιβάλλοντα: 'prod' ≠ 'stage' ≠ 'dev'. Τα δεδομένα Prod δεν αντιγράφονται στο στάδιο/dev. χρησιμοποιεί συνθετικά ή ψευδεπίγραφα σύνολα.

• Edge/WAF/CDN → App Zone → Data Zone (DWH/DB) → Secrets/KMS.
• Η περίμετρος πληρωμής (ΠΥΠ/κάρτες) είναι απομονωμένη από το κοινό προϊόν· CCM/κυρώσεις - ξεχωριστό τμήμα.
• 6. 3 Λογικός διαχωρισμός: χώροι ονομάτων (K8s), ταυτότητες ενοικιαστή, σχήματα καταλόγου DB/δεδομένων, μεμονωμένα κλειδιά κρυπτογράφησης ανά ενοικιαστή/περιφέρεια.
• 6. 4 Γεωγραφικός διαχωρισμός: αποθήκευση/επεξεργασία ανάλογα με την τοποθεσία (ΕΚ/ΗΒ/...). δρομολόγηση οδηγών και κλειδιών γύρω από την περιοχή.

7) Πρόσβαση πωλητή και εταίρου

Μηχανική: μεμονωμένοι ενοικιαστές/λογαριασμοί B2B, ελάχιστο πεδίο εφαρμογής API, mTLS, επιτρεπόμενος κατάλογος IP, χρόνος παραθύρου.
Συμβάσεις: DPA/SLA (αρχεία καταγραφής, περίοδοι διατήρησης, γεωγραφία, συμβάντα, υπεργολάβοι επεξεργασίας).
Offboarding: ανάκληση κλειδιού, επιβεβαίωση διαγραφής, πράξη κλεισίματος.
Παρακολούθηση: προειδοποιήσεις για μη φυσιολογικούς όγκους, απαγόρευση μαζικών εξαγωγών.

8) Διαδικασίες (SOP)

8. 1 Αίτηση/αλλαγή πρόσβασης

1. Εφαρμογή στο IDM/ITSM με σκοπό και όρο.
2. SoD/δικαιοδοσία/αυτόματη επαλήθευση κλάσης δεδομένων.
3. Έγκριση ιδιοκτήτη τομέα + Ασφάλεια/συμμόρφωση (εάν περιορίζεται +).
4. Έκδοση JIT/μόνιμη πρόσβαση (ελάχιστο σύνολο).
5. Καταγραφή: ποιος/πότε/τι εκδίδεται. ημερομηνία αναθεώρησης.

8. 2 Επαναπιστοποίηση

Τριμηνιαία: οι ιδιοκτήτες επιβεβαιώνουν τα δικαιώματα των ομίλων. αυτόματα αχρησιμοποίητα δικαιώματα (> 30/60 ημέρες).

8. 3 Εξαγωγή δεδομένων

Μόνο μέσω εγκεκριμένων αγωγών/εκθέσεων, σύμφωνα με λευκούς καταλόγους μορφοτύπων (CSV/Parquet/JSON), προκαθορισμένη κάλυψη, υπογραφή/hash, καταγραφή λήψης.

9) Πολιτική και πλαίσιο για τα ιατροτεχνολογικά προϊόντα

MDM/EMM - Περιορισμένη/άκρως περιορισμένη πρόσβαση μόνο από διαχειριζόμενες συσκευές.
Σήματα πλαισίου: geo, ρυθμός κινδύνου των συσκευών, ώρα της ημέρας, κατάσταση ΜΧΣ, φήμη IP - ως χαρακτηριστικά ABAC.
Επεκτάσεις περιηγητή/λήψη οθόνης: έλεγχος και καταγραφή, απαγόρευση για ευαίσθητες κονσόλες.

10) Παραδείγματα πολιτικής (αποσπάσματα)

10. 1 YAML (ψευδο) - ABAC για αναλυτή μάρκετινγκ

yaml policy: read_analytics_no_pii subject: role:marketing_analyst resource: dataset:events_
condition:
consent: analytics == true data_class: not in [Restricted, HighlyRestricted]
network: in [corp_vpn, office_mdm]
time: between 08:00-21:00 workdays effect: allow masking: default logging: audit_access + fields_scope

10. 2 SQL κάλυψη (ιδέα)

sql
SELECT user_id_hash,
CASE WHEN has_priv('pii_read') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

11) Παρακολούθηση, καταχωρίσεις και καταχωρίσεις

Διαδρομές ελέγχου: 'READ _ PII', 'EXPORT _ DATA', 'ROLE _ UPDATE', 'BREAK _ GLASS', 'PAYMENT _ ΕΓΚΡΙΣΗ'.
KRI: πρόσβαση χωρίς «σκοπό» = 0· απόπειρες υπερβολικού περιορισμού εκτός του παραθύρου· ποσοστό αποτυχημένων ελέγχων SoD· μη φυσιολογικές απορρίψεις.
KPI:% των αιτήσεων με JIT ≥ 80%· μέσος χρόνος πρόσβασης ≤ 4 ώρες· 100% κάλυψη επαναπιστοποίησης.
SOAR playbooks: αυτόματη ανάκληση για απειλές, εισιτήρια έρευνας.

12) Συμμόρφωση (σύντομος χάρτης)

GDPR/UK GDPR: ελαχιστοποίηση, ανάγκη γνώσης, συμβατότητα DSAR, έλεγχος PII.
AML/KYC: πρόσβαση σε CCM/κυρώσεις - μόνο για εκπαιδευμένους ρόλους, καταγραφή αποφάσεων.
ΕΚΕ DSS (κατά περίπτωση): διαχωρισμός ζώνης πληρωμών, απαγόρευση αποθήκευσης PAN/CSC, χωριστά κλειδιά/φιλοξενία.
ISO/ISMS: επίσημες πολιτικές πρόσβασης, ετήσιοι έλεγχοι και δοκιμές.

13) PACI

14) Μετρήσεις διάρκειας

κανόνα ABAC κάλυψη κρίσιμων συνόλων δεδομένων ≥ 95%.
Συνεδρίες JIT/όλες οι αυξήσεις ≥ 90%.
Ο χρόνος ανάκλησης εκτός της επιβίβασης ≤ 15 λεπτά.
0 συμβάντα λειτουργίας ρόλων (SoD).
Το 100% των αρχείων καταγραφής πρόσβασης είναι διαθέσιμα και επαληθεύονται (υπογραφή/hash).

15) Κατάλογοι ελέγχου

15. 1 Πριν από τη χορήγηση πρόσβασης

• Καθορισμός του σκοπού, της ημερομηνίας και του ιδιοκτήτη των δεδομένων
• Επαληθευμένο SoD/Δικαιοδοσίες
• Δυνατότητα ελάχιστου πεδίου εφαρμογής/συγκάλυψης
• Πληρούνται οι όροι ΜΧΣ/ΜΔΚ/δικτύου
• Διαμόρφωση ημερομηνίας καταγραφής και αναθεώρησης

15. 2 Τριμηνιαία επισκόπηση

• Συμφιλίωση ομάδων και ρόλων με την οργανωτική δομή
• Αυτόματα «κρεμαστά» δικαιώματα
• Έλεγχος για μη φυσιολογικές εξαγωγές και θραύση υαλοπινάκων
• Συναγερμοί εκπαίδευσης και δοκιμών

16) Τυπικά σενάρια και μέτρα

Α) Νέος ρόλος «Διαχειριστής VIP»

Πρόσβαση σε προφίλ VIP (μασκοφόροι), απαγόρευση εξαγωγών, JIT για εφάπαξ προβολή KYC μέσω εισιτηρίου.

B) Πωλητής ελέγχου BI

ανάγνωση μόνο σε καταστήματα χωρίς PII, προσωρινή λίστα VPN +, απαγόρευση της τοπικής αποθήκευσης, λήψη αρχείου καταγραφής.

C) DevOps επείγουσα πρόσβαση σε prod-DB

γυαλί θραύσης ≤ 30 λεπτά, συνεδρία καταγραφής, μετά την επανεξέταση με ΥΠΔ/Συμμόρφωση, CAPA για παραβιάσεις.

17) Χάρτης πορείας για την εφαρμογή

Εβδομάδες 1-2: απογραφή δεδομένων/συστημάτων, τάξεις δεδομένων, βασικός πίνακας RBAC, SoD.
Εβδομάδες 3-4: εφαρμογή ABAC (πρώτα χαρακτηριστικά: περιβάλλον, γεω, κατηγορία δεδομένων), ροές IDM, JIT/γυαλί θραύσης, PAM.
Μήνας 2: διαχωρισμός της περιμέτρου πληρωμών και KYC, χωριστά κλειδιά/KMS, περιοδικά εξαγωγών, προειδοποιήσεις SOAR.
Μήνας 3 +: τριμηνιαίες επαναπιστοποιήσεις, επέκταση χαρακτηριστικών (συσκευή/κίνδυνος), αυτοματοποίηση αποκάλυψης, τακτικές ασκήσεις.

TL, DR

Μοντέλο ισχυρής πρόσβασης = ταξινόμηση δεδομένων → RBAC + ABAC → SoD + JIT/PAM → σκληρή κατάτμηση → αρχείων καταγραφής και καταχωρίσεων. Αυτό μειώνει την πιθανότητα διαρροών και κατάχρησης, επιταχύνει τον έλεγχο και διατηρεί την πλατφόρμα εντός των ορίων των GDPR/AML/PCI και των εσωτερικών προτύπων.