تقسیم بندی امتیاز

1) چرا تقسیم بندی مورد نیاز است

تقسیم بندی امتیاز کلید کاهش خطاهای «شعاع انفجار» و سوء استفاده از خودی است. این اجازه می دهد تا شما را به دقت محدود کنید که چه کسی می تواند اقدامات را بر روی چه داده ها و کجا انجام دهد، در حالی که حفظ سرعت عملیات و انطباق با الزامات قانونی.

• حوادث کمتر به دلیل «حقوق اضافی» ؛
• تسریع تحقیقات: دسترسی شفاف و قابل توضیح است ؛
• انطباق با SoD/انطباق، حسابرسی قابل اثبات ؛
• آزمایش های ایمن و انتشار سریع بدون خطر به هسته تولید.

2) اصول

Zero Trust: هر عمل به صورت متنی بررسی می شود. «مناطق مورد اعتماد» وجود ندارد.
حداقل امتیاز: حداقل حقوق صادر شده برای یک دوره حداقل (ایده آل JIT).
زمینه نقش: حقوق نه تنها به نقش، بلکه به ویژگی ها (مستاجر، منطقه، محیط زیست، خطر) بستگی دارد.
تفکیک وظایف (SoD): شروع جداگانه، تصویب، اجرا و حسابرسی.

Policy-as-Code: Policies in code with versioning, tests and reviews (سیاست به عنوان کد)

3) مدل بلوغ دسترسی

1. RBAC (نقش ها) - شروع - نقش های ثابت (پشتیبانی، ریسک، پرداخت، تجارت، عملیات، SRE، انطباق).
2. ABAC (attributes): اضافه کردن ویژگی ها: مستاجر، منطقه، صلاحیت، محصول، کانال، محیط زیست (prod/stage/dev)، زمان، کلاس ریسک عملیات، سیگنال های KRI.
3. PBAC (مبتنی بر سیاست): سیاست های متمرکز «چه کسی/چه چیزی/کجا/چه زمانی/چرا» + شرایط (به عنوان مثال، «در فروش - فقط توسط JIT و با یک بلیط»).

4) حوزه های تقسیم بندی (محور به محور)

4. 1 مستاجر/مشتری

دسترسی و عملیات محدود به یک نام تجاری/اپراتور/وابسته خاص است.
فعالیت های متقابل مستاجر ممنوع است به جز برای تجمعات غیر PII به شدت تعریف شده است.

4. 2 منطقه/حوزه قضایی

سیاست ها به صدور مجوز محلی و قوانین KYC/AML توجه می کنند.
عملیات داده بازیکن توسط جغرافیای ذخیره سازی و پردازش محدود شده است.

4. 3 محیط (dev/stage/prod)

Prod جدا شده است: اعتبار فردی، شبکه، Bastion/PAM، «فقط خواندنی به طور پیش فرض».
دسترسی به prod تنها JIT, با یک بلیط و تغییر پنجره.

4. 4 کلاس داده

PII/finance/gaming telemetry/technologists - سطوح مختلف دسترسی و پوشش.
صادرات PII - فقط از طریق گردش کار رمزگذاری شده تایید شده و TTL.

4. ۵ انتقاد از عملکرد

کلاس های P1/P2/P3: انتشار ضرایب، آفست دستی، نتیجه گیری، تغییر مسیریابی PSP - نیاز به کنترل دوگانه.
عملیات کم خطر می تواند به طور خودکار توسط سیاست برداشته شود.

5) سطح امتیاز (سطوح)

بیننده: فقط خواندنی aggregates و داده های ماسک.
اپراتور - انجام روش های runbook بدون تغییر تنظیمات.
Contributor-تغییر تنظیمات در حوزه های غیر بحرانی.
تصویب: تصویب برنامه ها و عملیات با خطر بالا (با اعدام - SoD) ترکیب نشده است.
مدیر (JIT): ارتقاء کوتاه مدت برای وظایف نادر تحت کنترل دوگانه و ضبط جلسه.

6) SoD و نقش های ناسازگار

• نتیجه گیری را آغاز کنید ≠ تایید ≠ نهایی کنید.
• ایجاد یک کمپین پاداش ≠ فعال شدن در فروش ≠ تغییر محدودیت.
• ویژگی را توسعه دهید ≠ انتشار را اعمال کنید ≠ به prod بروید.
• درخواست آپلود PII ≠ تأیید ≠ رمزگشایی.

برای هر جفت - یک سیاست رسمی ممنوعیت و محرومیت با تاریخ تجدید نظر.

7) دسترسی JIT و PAM

ارتفاع در صورت درخواست: هدف/بلیط/مدت را مشخص کنید ؛ پس از انقضای - یادآوری خودکار.
کنترل دوگانه: P1/P2 عمل - دو برنامه از توابع مختلف.
کنترل جلسه: ضبط جلسات بحرانی، هشدارهای ناهنجاری، ممنوعیت کپی پیست هنگام کار با PII.
Break-glass: دسترسی اضطراری با محدودیت های سخت و پس از ممیزی اجباری.

8) حساب های خدمات و حوزه های API

حداقل محدوده ؛ وظیفه/تقسیم میکروسرویس نشانه ها/گواهینامه های کوتاه مدت.

چرخش اسرار، ممنوعیت اسرار مشترک ؛ ممنوعیت «خدا»

محدودیت در نرخ/سهمیه ها، کلید های idempotency، امضای وب هوک (HMAC).

9) تقسیم بندی سطح زیرساخت

شبکه ها: جداسازی بخش (هر دامنه/هر مستاجر)، جلوگیری از خروج پیش فرض، mTLS.
Kubernetes/Cloud: فضاهای نام/پروژه ها در هر محیط و دامنه، Gatekeeper/OPA برای ممنوع کردن الگوهای خطرناک.
DB/Caches: کارگزار دسترسی (پروکسی DB/IAM)، به طور پیش فرض فقط خواندنی است، DDL مانع از فروش خارج از پنجره می شود.
مخازن: کلیدها/سطلهای مختلف در هر کلاس با سیاستهای TTL و WORM برای حسابرسی.

10) سیاست ها به عنوان کد (PaC)

سیاست ها در مخازن (Rego/YAML)، بررسی روابط عمومی، تست خودکار (واحد/e2e)، ممیزی تفاوت.
زمینه پویا: زمان روز، مکان، سطح KRI، نمره ریسک عملیات.

توضیح پذیری اجازه/انکار تصمیم و اشاره به سیاست در حسابرسی

11) سیاهههای مربوط و حسابرسی

کامل بودن: چه کسی/چه چیزی/کجا/چه زمانی/چرا، مقادیر قبل/پست، شناسه بلیط.
غیر قابل تغییر: مجموعه متمرکز، WORM/تغییر ناپذیر، امضای رکورد.
اتصال: زنجیره ای از کنسول های مدیریت → API ها → پایگاه داده ها → ارائه دهندگان خارجی.
SLA حسابرسی: میزان پاسخ به درخواست های کنترل/تنظیم کننده.

12) داشبورد و معیارها (KPI/KRI)

دسترسی به KPI: سهم JIT در مقابل حقوق دائمی، مدت زمان متوسط امتیاز،٪ تحت پوشش SoD، زمان پردازش برنامه، پوشش مجدد مجدد.
KRI سوء استفاده: انفجار عملیات حساس، تخلیه انبوه، مکان/ساعت غیر معمول، توالی «zayavka → deystviye → otkat».
Exec-dashboard: وضعیت نقش های پرخطر، رویدادهای شیشه ای، روندها را ردیابی کنید.

13) نمونه سیاست (طرح)

Prod- операции: 'Allow if role in {Operator, Admin} AND jit = true AND ticket! = null AND sod_ok AND TIME in ChangeWindow'.
Экспорт PII: 'اجازه می دهد اگر data_class=PII و هدف در ApprovedPurposes و ttl <= 7d و رمزگذاری = ON و تایید> = 2'.
PSP - : "اجازه می دهد اگر عمل = UpdateROUTING و و و.

14) نقشه راه پیاده سازی (8-12 هفته)

«ند». 1-2: عملیات/نقش/داده موجودی، ماتریس SoD، طبقه بندی داده ها و تقسیم بندی دامنه.
«ند». 3-4: مبنای RBAC، کاتالوگ نقش، JIT برای کنسول های تولید، شروع PaC (OPA/Gatekeeper).
«ند». 5-6: ABAC: ویژگی های مستاجر/منطقه/محیط زیست/کلاس داده ؛ جدا کردن فضاهای نام/پروژه ها.
«ند». 7-8: PAM (ارتفاع JIT، ضبط جلسه، شکستن شیشه)، ممنوعیت DDL و کارگزار پایگاه داده، سیاست های صادرات PII.
«ند». 9-10: PBAC برای عملیات با ریسک بالا (نتیجه گیری، پاداش، PSP)، کنترل دوگانه، هشدارهای KRI.
«ند». 11-12: جواز مجدد سه ماهه، پوشش 100٪ در معرض خطر عملیات PaC، گزارش و آموزش.

15) مصنوعات

کاتالوگ نقش: نقش ها، حداقل امتیازات، صاحبان.
ماتریس SoD: نقش ها/عملیات ناسازگار، استثنائات، فرآیند را نادیده می گیرد.
Policy Pack: مجموعه ای از سیاست های PaC با تست ها و مثال ها انکار/اجازه.
فرم درخواست دسترسی: هدف، اصطلاح، شی (مستاجر/منطقه/محیط زیست)، ارزیابی ریسک، برنامه ها.
عملیات حساس ثبت نام: لیست اقدامات P1/P2, پنجره ها, معیارهای کنترل دوگانه.
Audit Playbook: جمع آوری و ارائه سیاهههای مربوط، پاسخ SLA، نقش ها.

16) ضد گلوله

حقوق دائمی مدیر و حساب های عمومی.
دسترسی متقابل مستاجر «برای راحتی».
بدون تشویق انزوا/مرحله/توسعه.
سیاست های روی کاغذ بدون اجرا در کد/کنسول.
PII با تنظیم دستی بدون رمزگذاری و TTL صادر می شود.
عدم تجدید نظر و حقوق آویزان.

17) خط پایین

تقسیم بندی امتیاز فقط «نقش های مناسب» نیست. "این انزوا چند بعدی (مستاجر، منطقه، محیط زیست، داده ها، بحرانی) + زمینه پویا (ABAC/PBAC) + فرآیندهای (SoD، JIT، جواز مجدد) + اجبار فنی (PaC، PAM، شبکه/DB) است. این حلقه به طور چشمگیری خطر خطا و سوء استفاده را کاهش می دهد، تغییر ایمن را تسریع می کند و پلت فرم را به مقیاس و الزامات قانونی انعطاف پذیر می کند.