Διαχωρισμός καθηκόντων και επιπέδων πρόσβασης

1) Στόχοι και αρχές

• αποκλείουν τον ενιαίο έλεγχο των κρίσιμων λειτουργιών (χρήμα/PII/συμμόρφωση),
• μείωση του κινδύνου απάτης/σφάλματος,
• διασφαλίζει την επαλήθευση των ρυθμιστικών αρχών και των εσωτερικών ελέγχων.

Αρχές: Μηδενική εμπιστοσύνη· Ελάχιστο προνόμιο· Ανάγκη γνώσης· SoD (4-μάτια)· Ανιχνευσιμότητα· Δυνατότητα ανάκλησης (γρήγορη ανάκληση).

2) Ταξινόμηση δεδομένων και επίπεδα πρόσβασης

3) Μοντέλο δικαιωμάτων: RBAC + ABAC

RBAC: ρόλοι ανά τομέα (Υποστήριξη, VIP, πληρωμές, AML, KYC, FRM, BI, DevOps, DPO, Legal).
ABAC: χαρακτηριστικά συμφραζόμενα (περιβάλλον, γεωγραφία, κατηγορία δεδομένων, συσκευή/MDM, χρόνος, επίπεδο KYC, στόχος πρόσβασης «σκοπός», κίνδυνος συσκευής).

Ένα παράδειγμα κατάστασης ABAC: ένας αναλυτής BI μπορεί να διαβάσει "εκδηλώσεις _' μόνο χωρίς PII, μόνο από το εταιρικό δίκτυο/MDM, τις καθημερινές 08: 00-21: 00, με ενεργό εκπαίδευση απορρήτου.

4) SoD - πίνακας ασύμβατων λειτουργιών

5) Επίπεδα και τύποι πρόσβασης

Μόνο ανάγνωση/Μασκοφόρος ανάγνωση: προεπιλογή για BI/υποστήριξη.
Εγγραφή πεδίου εφαρμογής: αλλαγές στο πλαίσιο της υπηρεσίας/διαδικασίας (π.χ. καταχώριση υπομνημάτων).
Προνομιούχος διαχειριστής: μόνο μέσω PAM (ασφαλής κωδικός πρόσβασης, διαμεσολαβητής συνεδρίας, εγγραφή συνεδρίας, μυστική περιστροφή).
Λογαριασμοί API/Service: ελάχιστα ospreys, μεμονωμένα κλειδιά ανά ολοκλήρωση, mTLS.

6) JIT и γυαλί θραύσης

JIT (Just-in-Time): προσωρινή ανύψωση (15-120 λεπτά) για συγκεκριμένο εισιτήριο, αυτόματη ανάκληση, υποχρεωτικός «σκοπός».
Υαλοπίνακες θραύσης: πρόσβαση έκτακτης ανάγκης με MAX + δεύτερη επιβεβαίωση, καταγραφή συνεδρίας, Security + DPO μετά την επανεξέταση, αυτόματη δημιουργία συμβάντος σε περίπτωση παραβίασης.

7) Διεργασίες (SOP)

7. 1 Αίτηση/τροποποίηση πρόσβασης (IDM/ITSM)

1. Απαίτηση με «σκοπό», ημερομηνία και ιδιοκτήτη δεδομένων.
2. Αυτοέλεγχος SoD/κλάση δεδομένων/δικαιοδοσία.
3. Έγκριση ιδιοκτήτη τομέα + Ασφάλεια (για περιορισμένη χρήση +).
4. Έκδοση JIT/μόνιμη πρόσβαση (ελάχιστο πεδίο εφαρμογής).
5. Καταχώριση στο μητρώο δικαιωμάτων (ημερομηνία αναθεώρησης, ανάκληση SLA).

7. 2 Επαναπιστοποίηση των δικαιωμάτων

Τριμηνιαίοι ιδιοκτήτες επιβεβαιώνουν τα δικαιώματα ομάδας/χρήστη.
Αυτόματα αχρησιμοποίητα δικαιώματα (> 30/60 ημέρες).

7. 3 Εξαγωγή δεδομένων

Μόνο μέσω εγκεκριμένων περιπτώσεων απεικόνισης/αγωγών. προκαθορισμένη κάλυψη λευκών καταλόγων προορισμών/μορφοτύπων· υπογραφή/hash· καταγραφή λήψης.

8) Έλεγχος προμηθευτή/εταίρου

Μεμονωμένοι ενοικιαστές B2B, ελάχιστα πεδία API, επιτρεπόμενη λίστα IP, χρονικά παράθυρα.
DPA/SLA: αρχεία καταγραφής πρόσβασης, περίοδοι διατήρησης, γεωγραφία, περιστατικά, υπο-επεξεργαστές.
Offboarding: ανάκληση κλειδιού, επιβεβαίωση διαγραφής, πράξη κλεισίματος.

9) Ενσωμάτωση στην ασφάλεια και συμμόρφωση

Διαδρομές ελέγχου: 'READ _ PII', 'EXPORT _ DATA', 'ROLE _ UPDATE', 'PAYMENT _ ΕΓΚΡΙΣΗ', 'BREAK _ GLASS'.
SIEM/SOAR: ειδοποιήσεις για μη φυσιολογικούς όγκους/πρόσβαση χωρίς «σκοπό »/έξοδο από παράθυρο/γεω.
GDPR/AML/PCI: Ανάγκη γνώσης, συμβατότητα DSAR, διαχωρισμός περιμέτρου πληρωμών, WORM για περιοδικά.

10) Παράδειγμα πολιτικών (αποσπάσματα)

10. 1 Πολιτική διαχειριστή VIP

Μασκοφόρος προβολή προφίλ, απαγόρευση εξαγωγών, JIT σε ενιαία προβολή KYC μέσω εισιτηρίου.

10. 2 Πολιτική για τον Αναλυτή Μάρκετινγκ

Μόνο μονάδες χωρίς PII. πρόσβαση με συγκατάθεση (σημαία CMP), από τη συσκευή MDM, κατά τις ώρες εργασίας.

10. 3 Ψευδο- YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12) Μετρήσεις και KRI/KPI

Κάλυψη ABAC: ≥ 95% των κρίσιμων συνόλων σύμφωνα με τους κανόνες χαρακτηριστικών.
Ποσοστό JIT: ≥ 80% των αυξήσεων είναι JIT.
Εκτός επιβίβασης TTR: ανάκληση πρόσβασης ≤ 15 λεπτά από τη στιγμή της απόλυσης/απενεργοποίησης.
Μη φυσιολογικές προσβάσεις χωρίς «σκοπό»: = 0 (KRI).
Τριμηνιαία επαναπιστοποίηση: επιβεβαίωση 100% ρόλων/ομάδων.
Συμμόρφωση με τις εξαγωγές: το 100% των εξαγωγών υπογράφονται/καταγράφονται.

13) Κατάλογοι ελέγχου

13. 1 Πριν από τη χορήγηση πρόσβασης

• «σκοπός», ημερομηνία, ιδιοκτήτης δεδομένων
• Επιτυχής επικύρωση SoD/δικαιοδοσιών/κλάσης δεδομένων
• Επιτρεπόμενο ελάχιστο πεδίο εφαρμογής + κάλυψη
• Πληρούνται οι όροι ΜΧΣ/ΜΔΚ/δικτύου
• Περιοδικά και ημερομηνία αναθεώρησης

13. 2 Τριμηνιαίος έλεγχος

• Έλεγχος ομάδων/ρόλων κατά της οργανωτικής δομής
• Ανάκληση αχρησιμοποίητων δικαιωμάτων
• Έλεγχος θραύσης υαλοπινάκων και μείζονες εξαγωγές
• Επιβεβαίωση της κατάρτισης (προστασία της ιδιωτικής ζωής/ασφάλεια)

14) Τυπικά σενάρια και μέτρα

Α) Ο μηχανικός χρειάζεται προσωρινή πρόσβαση σε prod-DB

JIT 30-60 λεπτά, καταγεγραμμένη συνεδρία μέσω PAM, μετά την επανεξέταση, CAPA για παραβιάσεις.

B) Η νέα θυγατρική ζητά από τους παίκτες να ξεφορτώσουν

Μόνο συγκεντρωτικά στοιχεία/ανωνυμοποίηση. εάν PII - σύμβαση, νομική βάση, whitelist των πεδίων, περιοδικό/υπογραφή, περιορισμένη διάρκεια αναφοράς.

Γ) Ο διαχειριστής VIP θέλει να δει έγγραφα KYC

απαγόρευση της άμεσης πρόσβασης· αίτημα μέσω AML/KYC, ενιαία έκδοση μέσω JIT, πλήρες αρχείο πεδίων.

15) Χάρτης πορείας για την εφαρμογή

Εβδομάδες 1-2: Απογραφή συστήματος/δεδομένων, ταξινόμηση, αρχικός πίνακας RBAC, πρωτογενής πίνακας SoD.
Εβδομάδες 3-4: εφαρμογή ABAC (περιβάλλον/geo/class/MDM), JIT και break-glass, εκτόξευση PAM, κούτσουρα εξαγωγής.
Μήνας 2: Κατάτμηση περιμέτρου CMC/πληρωμής, μεμονωμένα κλειδιά/KMS, προειδοποιήσεις SOAR για παραβιάσεις SoD/ABAC.
Μήνας 3 +: τριμηνιαία επαναπιστοποίηση, επέκταση χαρακτηριστικών (κίνδυνος/χρόνος συσκευής), αυτοματοποίηση αποκάλυψης, τακτικές ασκήσεις tabletop.

TL· DR

Αξιόπιστο μοντέλο πρόσβασης = ταξινόμηση δεδομένων → RBAC + ABAC → SoD με 4 μάτια → JIT/PAM και σκληρό έλεγχο → τακτική επαναπιστοποίηση και έλεγχο εξαγωγών. Αυτό μειώνει την πιθανότητα κατάχρησης και επιταχύνει τη διέλευση των ελέγχων/κανονιστικών ελέγχων.