سیاست های دسترسی و تقسیم بندی

1) اهداف و اصول

هدف: به حداقل رساندن خطر نشت/تقلب و عواقب قانونی از طریق کنترل دقیق «چه کسی، چه چیزی و چرا دسترسی دارد»، با قابلیت اثبات برای حسابرسی.
اصول: حداقل امتیاز (حداقل حقوق)، نیاز به دانستن، اعتماد صفر، تفکیک وظایف (SoD)، فقط در زمان (JIT)، ردیابی و یادآوری یک کلیک.

2) طبقه بندی داده ها و سطوح حفاظت

کلاس در دایرکتوری RoPA/data اختصاص داده شده است و به سیاست رمزگذاری، نگهداری و روش های دسترسی وابسته است.

3) مدل دسترسی: RBAC + ABAC

RBAC (نقش ها): ماتریس اصلی «نقش → وضوح».
ABAC (ویژگی ها): قوانین زمینه (صلاحیت بازیکن/اپراتور، بخش محیط، حساسیت مجموعه، تغییر/زمان، دستگاه، سطح تأیید KYC، وظیفه/هدف سرویس).

• تحلیلگر بازاریابی می تواند جداول "events _' را فقط برای کشورهایی که رضایت به تجزیه و تحلیل وجود دارد، فقط در روزهای هفته 08: 00-21: 00، فقط از دستگاه شبکه/MDM شرکت، بدون زمینه PII (پوشش فعال است).

4) SoD - تفکیک وظایف (ضد تقلب و انطباق)

5) JIT، شکستن شیشه и PAM

JIT (فقط در زمان): حقوق بالا برای یک دوره محدود (15-120 دقیقه) برای یک کار خاص صادر می شود و به طور خودکار لغو می شود.
شکستن شیشه: دسترسی اضطراری از طریق یک روش جداگانه (MFA + تایید دوم + هدف نشانه اجباری)، ضبط کامل جلسه و بررسی پس از واقعیت.
PAM: برای حساب های مدیر - فروشگاه رمز عبور، تجزیه و تحلیل رفتاری، چرخش کلید/مخفی، پروکسی جلسه با ضبط.

6) تقسیم بندی: متوسط، شبکه و منطقی

6. 1 محیط ها: «prod» ≠ «stage» ≠ «dev». پرود داده در stage/dev رونوشت نمیشود ؛ از مجموعه های مصنوعی یا aliased استفاده می کند.

• لبه/WAF/CDN → منطقه برنامه → منطقه داده (DWH/DB) → اسرار/KMS.
• محیط پرداخت (PSP/کارت) از تولید مشترک جدا شده است. CCM/تحریم ها - یک بخش جداگانه.
• 6. 3 تقسیم بندی منطقی: فضای نام (K8s)، شناسه مستاجر، طرح های دایرکتوری DB/داده، کلیدهای رمزگذاری فردی در هر مستاجر/منطقه.
• 6. 4 تقسیم بندی جغرافیایی: ذخیره سازی/پردازش با توجه به مکان (EC/UK/...) ؛ راهنماهای مسیریابی و کلید در سراسر منطقه.

7) دسترسی فروشنده و شریک

مکانیک: مستاجران/حساب های B2B فردی، حداقل دامنه API، mTLS، IP مجاز لیست، زمان پنجره.
قراردادها: DPA/SLA (سیاهههای مربوط، دوره نگهداری، جغرافیا، حوادث، زیر پردازنده).
Offboarding: فراخوان کلیدی، تایید حذف، بسته شدن عمل.
نظارت: هشدار برای حجم غیر طبیعی، ممنوعیت صادرات انبوه.

8) فرآیندها (SOP)

8. 1 درخواست/تغییر دسترسی

1. درخواست به IDM/ITSM با هدف و مدت.
2. SoD/صلاحیت/کلاس داده خودکار تأیید.
3. تایید مالک دامنه + امنیت/انطباق (اگر محدود +).
4. صدور JIT/دسترسی دائمی (حداقل مجموعه).

5. ثبت نام: چه کسی/چه زمانی/چه صادر شده است ؛ تاریخ تجدید نظر

8. 2 جواز مجدد

سه ماهه: صاحبان حقوق گروه ها را تأیید می کنند ؛ حقوق استفاده نشده خودکار (> 30/60 روز).

8. 3 صادرات داده ها

فقط از طریق خطوط لوله/ویترین تایید شده، با توجه به لیست سفید فرمت ها (CSV/Parquet/JSON)، پوشش پیش فرض، امضا/هش، ورود به سیستم دانلود.

9) سیاست و زمینه دستگاه

MDM/EMM - دسترسی محدود/بسیار محدود تنها از دستگاه های مدیریت شده.
سیگنال های زمینه: جغرافیایی، میزان خطر دستگاه ها، زمان روز، وضعیت MFA، شهرت IP - به عنوان ویژگی های ABAC.
افزونه های مرورگر/ضبط صفحه نمایش: کنترل و ورود به سیستم، ممنوعیت برای کنسول های حساس.

10) نمونه سیاست (قطعه)

10. 1 YAML (شبه) - ABAC برای تحلیلگر بازاریابی

yaml policy: read_analytics_no_pii subject: role:marketing_analyst resource: dataset:events_
condition:
consent: analytics == true data_class: not in [Restricted, HighlyRestricted]
network: in [corp_vpn, office_mdm]
time: between 08:00-21:00 workdays effect: allow masking: default logging: audit_access + fields_scope

10. 2 ماسک SQL (ایده)

sql
SELECT user_id_hash,
CASE WHEN has_priv('pii_read') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

11) نظارت، سیاههها و هشدارها

مسیرهای حسابرسی: «READ _ PII»، «EXPORT _ DATA»، «ROLE _ UPDATE»، «BREAK _ GLASS»، «PAYMENT _ APPROVAL».

KRIs: دسترسی بدون 'هدف' = 0; تلاش برای محدود کردن خارج از پنجره سهم چک های شکست خورده SoD ؛ تخلیه های غیر طبیعی

KPI:٪ از درخواست ها با JIT ≥ 80٪ ؛ متوسط زمان دسترسی ≤ 4 ساعت پوشش 100٪ مجدد گواهینامه.
کتابهای پخش SOAR: فراخوان خودکار برای تهدیدات، بلیط های تحقیق.

12) انطباق (نقشه کوتاه)

GDPR/UK GDPR: به حداقل رساندن، نیاز به دانستن، سازگاری DSAR، ممیزی PII.
AML/KYC: دسترسی به CCM/تحریم ها - فقط برای نقش های آموزش دیده، ثبت تصمیم.
PCI DSS (در صورت لزوم): جداسازی منطقه پرداخت، ممنوعیت ذخیره سازی PAN/CSC، کلید های جداگانه/میزبانی.

ISO/ISMS: سیاست های دسترسی رسمی، ممیزی های سالانه و آزمون ها

13) PACI

14) معیارهای بلوغ

پوشش قانون ABAC از مجموعه داده های مهم ≥ 95٪.
جلسات JIT/تمام ارتفاعات ≥ 90٪.
زمان لغو مجوز 15 دقیقه ≤.
0 نقش ≠ عملکرد (SoD) حوادث.
100٪ از سیاهههای مربوط دسترسی در دسترس هستند و تایید (امضا/هش).

15) چک لیست

15. 1 قبل از اعطای دسترسی

• هدف، تاریخ و صاحب اطلاعات تعریف شده است
• SoD/حوزه های قضایی تایید شده است
• حداقل دامنه/پوشش فعال شده است
• MFA/MDM/شرایط شبکه ملاقات کرد
• تاریخ ثبت و بازبینی پیکربندی شده است

15. 2 فصلنامه نقد و بررسی

• آشتی گروه ها و نقش با ساختار سازمانی
• خودکار «حلق آویز» حقوق
• صادرات غیر طبیعی و شیشه ای را بررسی کنید
• آموزش و آزمون هشدار

16) سناریوها و اقدامات معمول

الف) نقش جدید «مدیر VIP»

دسترسی به پروفایل های VIP (ماسک)، ممنوعیت صادرات، JIT برای مشاهده یک بار KYC از طریق بلیط.

B) فروشنده حسابرسی BI

خواندن فقط به فروشگاه های بدون PII، موقت VPN + اجازه لیست، ممنوع صرفه جویی در محلی، دانلود ورود به سیستم.

شکستن شیشه ای ≤ 30 دقیقه، جلسه ضبط، پس از بررسی با DPO/انطباق، CAPA برای نقض.

17) نقشه راه پیاده سازی

هفته 1-2: داده ها/سیستم موجودی، کلاس های داده، ماتریس RBAC پایه، SoD.
هفته 3-4: پیاده سازی ABAC (اولین ویژگی: محیط زیست، جغرافیایی، کلاس داده)، جریان IDM، JIT/شکستن شیشه ای، PAM.
ماه 2: پرداخت و تقسیم بندی محیط KYC، کلید های جداگانه/KMS، مجلات صادرات، هشدارهای SOAR.
ماه 3 +: سه ماهه دوباره گواهی نامه, پسوند ویژگی (دستگاه/خطر), اتوماسیون پوشش, دریل به طور منظم.

TL ؛ دکتر متخصص

مدل دسترسی مقاوم = طبقه بندی داده ها → RBAC + ABAC → SoD + JIT/PAM → تقسیم بندی سخت → سیاههها و هشدارها. این امر احتمال نشت و سوء استفاده را کاهش می دهد، حسابرسی را سرعت می بخشد و پلت فرم را در مرزهای GDPR/AML/PCI و استانداردهای داخلی حفظ می کند.