הפרדה גזעית של חובות ורמות גישה

1) מטרות ועקרונות

• להוציא שליטה יחידה על פעולות קריטיות (כסף/PII/ציות),
• להפחית את הסיכון של הונאה/טעות,
• להבטיח אימות לרגולטורים וביקורת פנימית.

עקרונות: חיסיון האמון המועט ביותר ‏ (4 עיניים) ‏ (Resident Revocability). ‏

2) סיווג נתונים ורמות גישה

3) מודל זכויות: RBAC + ABAC

RBAC: תפקידים לפי תחום (תמיכה, VIP, תשלומים, AML, KYC, FRM, BI, DevOps, DPO, Legal).
תכונות קונטקסטואליות (סביבה, גאוגרפיה, כיתת נתונים, התקן/MDM, זמן, רמת KYC, גישה למטרה 'מטרה', סיכון התקן).

דוגמה למצב של ABAC: מנתח מידע יכול לקרוא 'אירועים _' רק ללא PII, רק מרשת התאגידים/MDM, בימי חול 08: 00-21: 00, עם הכשרה אקטיבית בפרטיות.

4) SoD - מטריצה של פונקציות לא מתאימות

5) רמות גישה וסוגים

קריאה בלבד/קריאה במסכה: ברירת מחדל עבור BI/Support.
Scoped Write: שינויים בשירות/הליך (למשל: כניסה פתקים מקרה).
Administed Administration: רק באמצעות PAM (בטוח סיסמה, פרוקסי הפעלה, הקלטה הפעלה, סיבוב סודי).
חשבון API/Service: מינימום אוספריי, מפתחות בודדים לאינטגרציה, mTLS.

6) זכוכית פריצת JIT

(JIT (Just-in-Time: גובה זמני (15-120 דקות לכרטיס ספציפי, החזרה אוטומטית, ”מטרה” חובה.
פריצת זכוכית: גישת חירום עם אישור MFA + שני, הקלטה סשן, אבטחה + DPO לאחר סקירה, יצירה אוטומטית של אירוע במקרה של הפרות.

7) תהליכים (SOP)

7. 1 בקשה/שינוי גישה (IDM/ITSM)

1. דרישה עם ”מטרה”, תאריך ובעל נתונים.
2. בדוק את SoD/Data Class/שיפוט.
3. אישור בעל דומיין + אבטחה (להגבלה +).
4. Exuance of JIT/Extreme Action (היקף מינימלי).
5. כניסה במרשם הזכויות (תאריך תיקון, SLA).

7. 2 הסמכה מחדש של זכויות

בעלי הרבעון מאשרים את זכויות הקבוצה/משתמש.
זכויות ללא שימוש אוטומטי (> 30/60 ימים).

7. 3 יצוא נתונים

רק באמצעות תיקי תצוגה/צינורות מאושרים; ברירת מחדל מסווה רשימות לבנות של יעדים/פורמטים; חתימה/חשיש; הורד את הרישומים.

8) שליטה במספק/שותף

דיירי B2B בודדים, סקופים מינימליים של API, IP ברשימה, חלונות זמן.
DPA/SLA: רישומי גישה, תקופות שימור, גאוגרפיה, תקריות, תת-מעבדים.
החזרת מפתח, אישור למחיקה, פעולת הסגירה.

9) אינטגרציה עם ביטחון וציות

שבילי ביקורת: "READ _ PII", "EXPORT _ DATA", "FACE _ UPDATE", "PRIME _ ALLAY", "BREK _ GLASs'.
SIEM/SOAR: התראות עבור כרכים/גישה לא תקינים ללא ”מטרה ”/יציאה מהחלון/גיאו.
GDPR/AML/PCI: צורך לדעת, תאימות DSAR, הפרדה היקפית בתשלום, תולעת לכתבי עת.

10) מדיניות לדוגמה (קטעים)

10. מדיניות מנהל אח "מים 1

תצוגת פרופיל במסכה, איסור ייצוא, JIT לתצוגת KYC אחת באמצעות כרטיס.

10. 2 מדיניות לאנליסט שיווק

רק יחידות ללא מח "ש; גישה עם הסכמה (דגל CMP), מהמכשיר MDM, בשעות העבודה.

10. 3 פסאודו-יאמל ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) ראסי (RACI)

12) מטריצות ו ־ KRIs/KPIs

כיסוי ABAC: 95% ממערכות קריטיות תחת כללי מאפיין.
שיעור JIT: 80% מהגבהים הם JIT.
ביטול הגישה ל-TTR בעוד 15 דקות מרגע הפיטורים/ביטול הפעילות.
גישה לא תקינה ללא ”מטרה”: = 0 (KRI).
אישור רבעוני: 100% תפקידים/קבוצות אושרו.
ציות לייצוא: 100% מהיצוא חתום/מחובר.

13) רשימות בדיקה

13. 1 לפני מתן גישה

[ ] ”מטרה” מוגדרת, תאריך, בעל נתונים

[ אישור ] SoD/תחום שיפוט/שיעור נתונים עבר

[ ] היקף מינימלי + מיסוך מופעל

[ ] MFA/MDM/Network

[ ] יומנים ותאריך שינוי להגדיר

13. ביקורת רבעונית 2

[ ] בדוק קבוצות/תפקידים נגד מבנה ארגוני

[ ] לבטל זכויות שאינן בשימוש

[ ] בדוק פריצת זכוכית ויצוא גדול

[ ] אשר הכשרה (פרטיות/ביטחון)

14) תרחישים ואמצעים טיפוסיים

א) מהנדס זקוק לגישה זמנית ל ־ Prod-DB

30-60 דקות, פגישה מוקלטת דרך PAM, לאחר בדיקה, CAPA להפרות.

ב) השתייכות חדשה מבקשת מהשחקנים לפרוק

אגרגטים בלבד/אנונימיות; אם PII - חוזה, בסיס משפטי, מלבין שדות, כתב עת/חתימה, מונח עיון מוגבל.

מנהל VIP רוצה לראות את מסמכי KYC

איסור על גישה ישירה; מבקש VIA AML/KYC, גיליון יחיד באמצעות JIT, רישום מלא של שדות.

15) מימוש מפת דרכים

שבועות 1-2: System/Data Reventory, Classification, Baseline RBAC Matrix, Primary Sod Table.
שבועות 3-4: ABAC (סביבה/geo/class/MDM) יישום, JIT ושבר-זכוכית, השקת PAM, יומני ייצוא.
חודש 2: מקטע היקפי CMC/תשלום, מפתחות/KMS בודדים, התראות SOAR על הפרות SOD/ABAC.
חודש 3 +: הסמכה מחדש רבעונית, סיומת ייחוס (סיכון/זמן התקן), מיסוך אוטומציה, תרגילי שולחן רגילים.

TL; DR

ABAC + ABAC # SOD עם 4-Eyes # JIT/PAM ו hard addvict + regular re-accorporation and export control. זה מפחית את הסבירות להתעללות ומאיץ את מעבר הביקורת/בדיקות רגולטוריות.