ممیزی هویت

1) هدف و نتیجه

هدف: ارائه انطباق قابل اثبات با اصول Zero Trust و حداقل امتیازات از طریق تأیید منظم اینکه چه کسی به کجا و چرا دسترسی دارد.
نتیجه گیری: ثبت کامل و به روز از هویت ها و حقوق با صاحبان تایید شده، حذف دسترسی «منجمد»، یک پایگاه شواهد رسمی برای کنترل داخلی و تنظیم کننده ها.

2) محدوده

کاربران داخلی: کارکنان، کارورزان، سرپرستان، نقش های موقت.
پیمانکاران/شرکا: استودیوهای بازی، ارائه دهندگان PSP/KYC/AML، شرکت های وابسته.
هویت خدمات: رباتها, CI/CD, ادغام, کلید و نشانه API.
نقش های ممتاز: مدیران زیرساخت/پایگاه داده، پرداخت، ریسک، تجارت.
بازیکنان (در زمینه KYC): صحت بسته نرم افزاری حساب ↔ نمایه KYC ↔ وضعیت RG/AML (بررسی فرآیندها، نه محتوای سند).

3) شرایط و اصول

هویت: یک نهاد منحصر به فرد (شخص/خدمات) با ویژگی.
استحقاق: یک حق/نقش خاص برای یک منبع.
JML: Joiner → Mover → Leaver - چرخه زندگی هویت.
SoD: تفکیک وظایف برای عملیات پر خطر.
حداقل امتیاز و فقط در زمان (JIT): حداقل مجموعه ای از حقوق اعطا شده برای مدت زمان محدود.
پاسخگویی: هر هویت صاحب دارد، هر حق دارای یک پرونده تجاری و یک اصطلاح است.

4) منابع حقیقت و مدل داده

سیستم HRIS/HR: منبع اصلی وضعیت کارکنان (استخدام/حرکت/خروج).
IdP/SSO: Single Authentication Point (MFA/FIDO2), FEDERATION.
IAM/IGA: کاتالوگ نقش ها، سیاست ها و فرآیندهای جواز مجدد.
کاتالوگ CMDB/سرویس: مالکیت سیستم ها و حلقه های دسترسی.
سیستم عامل های ارائه دهنده: PSP/KYC/CDN/WAF/ارائه دهندگان بازی - پورتال دسترسی خارجی.
Модель: هویت → (متعلق به) → Org واحد/تیم → (دارد) → نقش ها → (گسترش از طریق ABAC) → حقوق → (درخواست) → منابع.

5) کنترل های حسابرسی شده

1. SSO و MFA در همه جا (بدون حساب های محلی و حساب های مشترک).
2. RBAC/ABAC/PBAC: حقوق شرح داده شده توسط سیاست (سیاست به عنوان کد)، نقش - معمولی و سازگار است.
3. SoD: نقش ها و استثنائات ناسازگار رسمی می شوند.
4. JIT/PAM: تبلیغات موقت با بلیط، ضبط جلسه و فراخوان خودکار.
5. اسرار/کلید: ذخیره شده در مدیریت اسرار، با چرخش و طول عمر.
6. سیاهههای مربوط و قابلیت اثبات: شواهد دستکاری، ردیابی منسجم که/چه/کجا/چه زمانی/چرا.
7. دسترسی به داده ها: PII ماسک، صادرات - تنها با گردش کار با رمزگذاری و TTL.

6) فرآیند حسابرسی (پایان به پایان)

1. آماده سازی: انجماد یک عکس فوری از حقوق (حق عکس فوری) توسط سیستم ؛ دانلود از IdP/IAM/ارائه دهندگان

2. Normalization: نقشه برداری نقش ها به یک دایرکتوری، deduplication، گروه بندی توسط صاحبان منابع.
3. طبقه بندی ریسک: P1/P2 (ممتاز و حساس) → تأیید اولویت.
4. تصدیق مجدد حقوق: صاحبان سیستم حقوق را تأیید/رد می کنند (کمپین های بررسی دسترسی).
5. بررسی SoD برای ناسازگاری و استثنائات موقت (با تاریخ انقضا).
6. آشتی JML: نقشه برداری استخدام/حرکت/خروج به حقوق واقعی (از جمله پورتال های خارجی).
7. حساب های خدمات: در دسترس بودن مالک، نشانه های کوتاه مدت، بدون «دامنه خدا».
8. پایه شواهد: تشکیل یک بسته از مصنوعات (گزارش ها، آپلود ها، اعمال).
9. طرح بازسازی: بلیط برای فراخوان/اصلاح، مهلت و افراد مسئول.
10. گزارش نهایی: وضعیت ریسک، KPI های چرخه، درس های آموخته شده و بهبود سیاست ها.

7) خطوط JML (که ما عمیق تر بررسی می کنیم)

Joiner: تخصیص خودکار نقشهای اساسی، ممنوعیت «اضافات» دستی در خارج از دایرکتوری.
Mover: تغییر فرمان/محل → جایگزینی خودکار نقش ها، لغو امتیازات قدیمی.
Leaver: لغو تمام حقوق در عرض X دقیقه/ساعت، بسته شدن پورتال ایمیل/VPN/ارائه دهنده، غیرفعال کردن کلید ها و نشانه ها.

8) وابستگی های خارجی و پورتال

PSP/KYC/AML/CDN/WAF/ارائه دهندگان بازی: هر حساب دارای صاحب، هدف، مهلت، MFA، ممنوعیت حساب های مشترک است.
SoD/SLA قراردادی: در دسترس بودن کنترل دوگانه برای عملیات P1 (تغییر مسیریابی پرداخت، محدودیت پاداش، و غیره).
آشتی منظم: ثبت نام از پورتال های خارجی ↔ لیستی از کاربران فعلی ↔ نتایج جواز مجدد.

9) ویژگی های دامنه iGaming

پرداخت و ریسک: شاخه های SoD را انتخاب کنید ؛ به روز رسانی در تغییرات در محدودیت/مسیریابی ؛ حسابرسی از تنظیمات دستی.
تجارت/عوامل: جعبه های شن و ماسه برای مدل سازی، نقش انتشار فردی، بازگشت سریع ؛ ورود به سیستم را تغییر دهید.
بازی مسئول/KYC/PII: کنترل صادرات دقیق، پوشش در BI، پردازش SLA از درخواست تنظیم کننده.
شرکت های وابسته و streamers: پورتال محدود با قابلیت گزارش بدون دسترسی به PII.

10) سیاست ها به عنوان کد (PaC)

Policies in the repository (Rego/YAML), PR review, tests.
زمینه پویا در راه حل های مجاز/انکار: محیط زیست (تولید)، زمان، مکان، انتقاد از عملیات، سیگنال های KRI (به عنوان مثال، افزایش اقدامات حساس).
الزام آور اجباری به بلیط و هدف برای تبلیغات JIT.

11) مجلات و اثبات پذیری

زنجیره رویداد: کنسول مدیریت/IdP → API → پایگاه داده → ارائه دهندگان خارجی.
دستکاری آشکار: WORM/غیر قابل تغییر-ذخیره سازی, امضای سوابق, سخت TTL.
جستجو و پاسخ: SLA پاسخ به درخواست های داخلی/خارجی (ممیزی، تنظیم کننده، بانک/شریک).

12) معیارها و KPI/KRI

• سهم حقوق تأیید شده در زمان (تأیید مجدد)،٪ از کمپین های عقب افتاده.
• زمان از اخراج به لغو کامل حقوق (MTTR-leaver).
• افزایش سهم JIT در مقابل امتیازات پایدار.
• تعداد تعارضات SoD حل شده در هر چرخه.
• کامل بودن سیستم های تحت پوشش و پورتال های خارجی

• چسبندگی حساس (صادرات PII، تغییرات PSP).
• حقوق استفاده نشده> N روز.
• شکستن شیشه بدون حسابرسی.
• حساب بدون مالک/هدف/مدت.

13) نقشه راه پیاده سازی (8-12 هفته)

«ند». ۱-۲: فهرست هویت ها و سیستم ها (از جمله پورتال های خارجی)، کاتالوگ نقش و ماتریس SoD.
«ند». ۳-۴: اتصال SSO/MFA در همه جا، یک مجموعه واحد از حقوق، اولین گزارش عکس فوری.
«ند». 5-6: راه اندازی کمپین های صدور گواهینامه IGA (اولویت P1/P2)، فراخوان خودکار برای Leaver.
«ند». 7-8: JIT/PAM برای مدارهای تولید، جلسات ضبط، ممنوعیت حسابهای مشترک از ارائه دهندگان.
«ند». 9-10: PaC: رسمی سازی سیاست های کلیدی (PII صادرات، مسیریابی PSP، انتشار)، تست واحد سیاست ها.
«ند». 11-12: داشبورد KPI/KRI، مقررات چرخه سه ماهه، گزارش برای انطباق/تنظیم کننده ها.

14) الگوهای مصنوعی

کاتالوگ نقش: نقش، توضیحات، حداقل امتیازات، مالک، کاربرد (مستاجر/منطقه/محیط زیست).
SoD Matrix - نقش ها/عملیات ناسازگار، استثنائات، مدت استثنا و صاحب استثنا.
Access Review Pack: برگه تایید حقوق، نظرات، نتیجه (تایید/لغو/کاهش).
خدمات حساب ثبت نام: هدف، مالک، طول عمر، حوزه، محل ذخیره سازی اسرار، برنامه چرخش.
پورتال خارجی موجودی: سیستم، مخاطبین، لیست کاربر، MFA، آخرین تاریخ جواز مجدد.
چک لیست شواهد: چه آپلود/سیاهههای مربوط و در چه فرمت برای ذخیره برای ممیزی.

15) ضد گلوله

حساب های عمومی و «مدیر برای همیشه».
شماره دستی حقوق دور زدن IdP/IGA.
بدون تحمل SoD یا «استثنائات موقت» بدون تاریخ انقضا.
نشانه های سرویس بدون چرخش/مالک.
صادرات PII «با حرف» بدون گردش کار و رمزگذاری.
هیچ حسابرسی از پورتال های خارجی (PSP/KYC/ارائه دهندگان بازی).

16) حسابرسی مکرر و اصلاح سریع

دسترسی منجمد از اخراج/پیمانکاران: بازخورد خودکار در رویدادهای HR (Leaver) را فعال کنید.
نقش های اضافی: به نقش های کوچکتر تجزیه می شوند و ویژگی های ABAC را متصل می کنند.
حساب های مشترک با ارائه دهندگان: مهاجرت به شخصی + MFA، صدور نقش موقت برای کارهای نادر.
اسرار طولانی مدت: تغییر به نشانه ها/گواهینامه های کوتاه مدت و چرخش برنامه ریزی شده.

17) دسته مدیریت حوادث

هر حادثه با جزء دسترسی → به روز رسانی اجباری از ثبت نام از خطرات و سیاست ها، تایید مجدد نقطه از نقش های آسیب دیده، پس از مرگ با اقلام اقدام (و مهلت).

مجموع

حسابرسی هویت یک چرخه قابل تکرار و خودکار است: یک ثبت کامل از هویت ها و حقوق → مجوز مجدد ریسک → JML سخت و JIT/PAM → سیاست ها به عنوان کد و حسابرسی قابل اثبات → بهبود نتایج چرخه. این حلقه احتمال سوء استفاده و اشتباهات را کاهش می دهد، تحقیقات را سرعت می بخشد، انطباق را تقویت می کند و از عملیات کلیدی کسب و کار سیستم عامل های iGaming محافظت می کند.