अभिगम नीतियां और विभाजन

1) उद्देश्य और सिद्धांत

लक्ष्य: सख्त के माध्यम से लीक/धोखाधड़ीऔर नियामक परिणामों के जोखिम को कम करने के लिए "ऑडिट के लिए प्रोविबिलिटी के साथ, क्या और क्यों पहुंच है" नियंत्रण है।

सिद्धांत: कम से कम विशेषाधिकार (न्यूनतम अधिकार), नीड-टू-नो, जीरो ट्रस्ट, कर्तव्यों का अलगाव (एसओडी), जस्ट-इन-टाइम (जेआईटी), ट्रेसीबिलिटी और वन-क्लिक रिकॉल।

2) डेटा वर्गीकरण और सुरक्षा स्तर

श्रेणी	उदाहरण	संरक्षण और पहुंच
सार्वजनिक	स्थैतिक पृष्ठ, विपणन	बिना प्राधिकरण के उपलब्ध
आंतरिक	गैर-पीआईआई परिचालन मैट्रिक्स	एसएसओ, केवल पढ़ ने की भूमिका
गोपनीय	DWH समुच्चय, बिना आईडी के रिपोर्ट	एसएसओ + एमएफए, अनुमोदित समूह, पत्रिका
प्रतिबंधित (पीआईआई/वित्त)	केवाईसी, लेनदेन, आरजी सिग्नल, प्रतिबंध/पीईपी	विशेषताओं द्वारा ABAC, JIT, फील्ड लॉग, WORM लॉग
अत्यधिक प्रतिबंधित	कुंजी, रहस्य, व्यवस्थापक कंसोल, पैन खंड	पीएएम, पृथक परिधि, एमटीएलएस, रिकॉर्ड किए गए सत्र

💡 वर्ग RoPA/डेटा निर्देशिका में सौंपा गया है और एन्क्रिप्शन नीति, प्रतिधारण और पहुंच विधियों से जुड़ा हुआ है।

3) एक्सेस मॉडल: RBAC + ABAC

RBAC (भूमिकाएँ): मूल "भूमिका → रिज़ॉल्यूशन" मैट्रिक्स।

ABAC (विशेषताएं): संदर्भ नियम (खिलाड़ी/ऑपरेटर अधिकार क्षेत्र, पर्यावरण खंड, सेट संवेदनशीलता, शिफ्ट/टाइम, डिवाइस, केवाईसी सत्यापन स्तर, सेवा कार्य/उद्देश्य)।

ABAC स्थिति (तर्क) का उदाहरण:

विपणन विश्लेषक केवल उन देशों के लिए पढ़ सकते हैं, जहां एनालिटिक्स की सहमति है, केवल सप्ताह के 08: 00-21: 00 पर, केवल कॉर्पोरेट नेटवर्क/एमडीएम डिवाइस से, बिना पीआईआई फील्ड्स (मास्किंग सक्षम है)।

4) SoD - कर्तव्यों का पृथक्करण (धोखाधड़ीविरोधी और अनुपालन)

फंक्शन	आप क्या कर सकते हैं	जो निषिद्ध है
धोखाधड़ी विरोधी	धोखाधड़ी विरोधी नियम	अपने स्वयं के कैशआउट/वीआईपी सीमा को मंजूरी दें
भुगतान	निष्कर्ष की पुष्टि करें	धोखाधड़ी विरोधी नियम संपादित करें
अनुपालन/एएमएल	EDD/STR बंद करें, KYC पढ़ें	पूरे DWH का प्रत्यक्ष निर्यात
डीपीओ/गोपनीयता	ऑडिटिंग, पीआईआई लॉग पढ़ रहा है	prod अधिकारों को संशोधित
SRE/DevOps	बुनियादी ढांचा	व्यापार PII तालिकाओं को पढ़ें
डेवलपर्स	लॉग/देव/चरण तक पहुंच	PII के साथ प्रोड डेटा तक पहुँचना
समर्थन/वीआईपी	पढ़ें खिलाड़ी प्रोफ़ाइल (नकाबपो	कच्चा पीआईआई निर्यात

💡 धन/पीआईआई को प्रभावित करने वाली किसी भी कार्रवाई के लिए दो-सर्किट सत्यापन (4-आंख सिद्धांत) या स्वचालित टिकट अनुमोदन की आवश्यकता होती है।

5) जेआईटी, ब्रेक-ग्लास и पीएएम

JIT (जस्ट-इन-टाइम): एक विशिष्ट कार्य के लिए सीमित अंतराल (15-120 मिनट) के लिए उन्नत अधिकार जारी किए जाते हैं और स्वचालित रूप से निरस्त कर दिए जाते हैं।

ब्रेक-ग्लास: एक अलग प्रक्रिया (एमएफए + दूसरी पुष्टि + अनिवार्य संकेत उद्देश्य) के माध्यम से आपातकालीन पहुंच, सत्र की पूर्ण रिकॉर्डिंग और तथ्यात्मक समीक्षा।

PAM: व्यवस्थापक खातों के लिए - पासवर्ड स्टोर, व्यवहार एनालिटिक्स, कुंजी/गुप्त रोटेशन, रिकॉर्डिंग के साथ सत्र प्रॉक्सी।

6) विभाजन: मध्यम, नेटवर्क और तार्किक

6. 1 वातावरण: 'प्रोड' ≠ 'स्टेज' ≠ 'देव'। प्रोड डाटा को स्टेज/देव पर कॉपी नहीं किया गया है; सिंथेटिक या उपनाम सेट का उपयोग करता है।

6. 2 नेटवर्क (उदाहरण क्षेत्र):

एज/WAF/CDN → App ज़ोन → डेटा ज़ोन (DWH/DB) → रहस्य/KMS।
भुगतान परिधि (PSP/कार्ड) सामान्य प्रोड से अलग है; CCM/प्रतिबंध - एक अलग खंड।
6. 3 तार्किक विभाजन: नेमस्पेस (K8s), किरायेदार-आईडी, डीबी/डेटा निर्देशिका स्कीमा, प्रति किरायेदार/क्षेत्र व्यक्तिगत एन्क्रिप्शन कुंजी।
6. 4 भू-विभाजन: स्थान के अनुसार भंडारण/प्रसंस्करण (ईसी/यूके/...); मार्ग मार्ग और क्षेत्र के चारों ओर चाबियाँ।

7) विक्रेता और साथी पहुंच

यांत्रिकी: व्यक्तिगत बी 2 बी किरायेदार/खाते, न्यूनतम एपीआई गुंजाइश, एमटीएलएस, अनुमति-सूची आईपी, विंडो समय।

अनुबंध: डीपीए/एसएलए (लॉग, प्रतिधारण अवधि, भूगोल, घटनाएं, उप-प्रोसेसर)।

ऑफबोर्डिंग: कुंजी रिकॉल, विलोपन की पुष्टि, समापन अधिनियम।

निगरानी: असामान्य मात्रा के लिए अलर्ट, बड़े पैमाने पर निर्यात पर प्रतिबंध।

8) प्रक्रियाएं (एसओपी)

8. 1 अनुरोध/परिवर्तन पहुँच

1. उद्देश्य और अवधि के साथ आईडीएम/आईटीएसएम के लिए आवेदन।

2. SoD/अधिकार क्षेत्र/डेटा वर्ग ऑटो-सत्यापन।

3. डोमेन मालिक अनुमोदन + सुरक्षा/अनुपालन (यदि प्रतिबंधित +)।

4. जेआईटी/स्थायी पहुंच (न्यूनतम सेट) जारी करना।

5. लॉगिंग: कौन/कब/क्या जारी किया गया है; संशोधन तिथि।

8. 2 सुधार

त्रैमासिक: मालिक समूहों के अधिकारों की पुष्टि करते हैं; स्वचालित अप्रयुक्त अधिकार (> 30/60 दिन)।

8. 3 डाटा निर्यात

केवल अनुमोदित पाइपलाइन/शोकेस के माध्यम से, प्रारूपों की सफेद सूची (CSV/Parquet/JSON), डिफ़ॉल्ट मास्किंग, हस्ताक्षर/हैश, डाउनलोड लॉग के अनुसार।

9) उपकरण नीति और संदर्भ

एमडीएम/ईएमएम - प्रबंधित उपकरणों से प्रतिबंधित/अत्यधिक प्रतिबंधित।

संदर्भ संकेत: भू, उपकरणों की जोखिम दर, दिन का समय, एमएफए स्थिति, आईपी प्रतिष्ठा - एबीएसी विशेषताओं के रूप में।

ब्राउज़र एक्सटेंशन/स्क्रीन कैप्चर: नियंत्रण और लॉग, संवेदनशील कंसोल के लिए निषेध।

10) नीतिगत उदाहरण (स्निपेट्स)

10. 1 YAML (छद्म) - विपणन विश्लेषक के लिए ABAC

yaml policy: read_analytics_no_pii subject: role:marketing_analyst resource: dataset:events_
condition:
consent: analytics == true data_class: not in [Restricted, HighlyRestricted]
network: in [corp_vpn, office_mdm]
time: between 08:00-21:00 workdays effect: allow masking: default logging: audit_access + fields_scope

10. 2 SQL मास्किंग (विचार)

sql
SELECT user_id_hash,
CASE WHEN has_priv('pii_read') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

11) निगरानी, लॉग और अलर्ट

ऑडिट ट्रेल्स: 'READ _ PII', 'EXPORT _ DATA', 'ROLE _ UPDATE', 'BRAKE _ GLASH', 'PEADION _ APDRRO)।

केआरआई: 'उद्देश्य' = 0 के बिना पहुँच; खिड़की के बाहर अत्यधिक प्रतिबंधित करने का प्रयास असफल SoD जाँच का हिस्सा; असामान्य डिस्चार्ज।

केपीआई: JIT ≥ 80% के साथ% अनुरोध; औसत पहुंच समय ≤ 4 घंटे; 100% पुन: प्रमाणन कवरेज।

SOAR प्लेबुक: खतरों के लिए ऑटो-रिकॉल, जांच टिकट।

12) अनुपालन (लघु मानचित्र)

GDPR/UK GDPR: न्यूनतम, आवश्यकता-से-पता, DSAR संगतता, PII ऑडिट।

एएमएल/केवाईसी: सीसीएम/प्रतिबंधों तक पहुंच - केवल प्रशिक्षित भूमिकाओं, निर्णय लॉग के लिए।

पीसीआई डीएसएस (यदि लागू हो): भुगतान क्षेत्र अलगाव, पैन/सीएससी भंडारण पर प्रतिबंध, अलग कुंजी/होस्टिंग।

आईएसओ/आईएसएमएस: औपचारिक पहुंच नीतियां, वार्षिक ऑडिट और परीक्षण।

13) PACI

गतिविधि	अनुपालन/कानूनी	डीपीओ	सुरक्षा	SRE/IT	डेटा/द्वि	उत्पाद/Eng	डोमेन मालिक
नीतियां और SoDs	A/R	सी	सी	सी	सी	सी	सी
RBAC/ABAC मॉडल	सी	सी	A/R	आर	आर	आर	सी
आईडीएम/जेआईटी/पीएएम	मैं	मैं	A/R	आर	मैं	सी	मैं
सुधार	सी	सी	ए	आर	आर	आर	आर
निर्यात/मास्क	सी	ए	आर	आर	आर	सी	सी

14) परिपक्वता मैट्रिक्स

महत्वपूर्ण डेटासेट का एबीएसी नियम कवरेज ≥ 95%।

JIT सत्र/सभी ऊंचाई ≥ 90%।

ऑफबोर्डिंग निरसन समय ≤ 15 मिनट।

0 भूमिका ≠ फ़ंक्शन (SoD) घटनाएँ।

100% एक्सेस लॉग उपलब्ध हैं और सत्यापित हैं (हस्ताक्षर/हैश)।

15) चेकलिस्ट

15. 1 एक्सेस देने से पहले

उद्देश्य, तिथि और डेटा मालिक परिभाषित
SoD/न्यायालय सत्यापित
न्यूनतम स्कोप/मास्किंग सक्षम
एमएफए/एमडीएम/नेटवर्क शर्तों को पूरा किया
लॉगिंग और संशोधन तिथि विन्यस्त

15. 2 त्रैमासिक समीक्षा

संगठनात्मक संरचना के साथ सामंजस्य समूह और भूमिकाएँ
ऑटो "हैंगिंग" अधिकार
असामान्य निर्यात और ब्रेक-ग्लास के लिए जांच करें
प्रशिक्षण और परीक्षण अलर्ट

16) विशिष्ट परिदृश्य और उपाय

ए) नई भूमिका "वीआईपी प्रबंधक"

टिकट के माध्यम से एक बार केवाईसी देखने के लिए वीआईपी प्रोफाइल (नकाबपोश), निर्यात प्रतिबंध, जेआईटी तक पहुंच।

बी) बीआई ऑडिट विक्रेता

केवल PII के बिना स्टोरफ्रंट के लिए पढ़ें, अस्थायी VPN + अनुमति-सूची, स्थानीय स्तर पर बचत, डाउनलोड लॉग को प्रतिबंधित करें।

C) prod-DB के लिए DevOps आपातकालीन पहुँच

उल्लंघन के लिए ब्रेक-ग्लास ≤ 30 मिनट, रिकॉर्डिंग सत्र, डीपीओ/अनुपालन के साथ समीक्षा के बाद।

17) कार्यान्वयन रोडमैप

सप्ताह 1-2: डेटा/सिस्टम इन्वेंट्री, डेटा कक्षाएं, मूल आरबीएसी मैट्रिक्स, एसओडी।

सप्ताह 3-4: ABAC (पहले गुण: पर्यावरण, भू, डेटा वर्ग), IDM धाराएँ, JIT/ब्रेक-ग्लास, PAM को लागू करें।

महीना 2: भुगतान और केवाईसी परिधि विभाजन, अलग कुंजी/केएमएस, निर्यात पत्रिकाएं, एसओएआर अलर्ट।

महीना 3 +: त्रैमासिक पुन: प्रमाणपत्र, विशेषता विस्तार (डिवाइस/जोखिम), मास्किंग स्वचालन, नियमित अभ्यास।

टीएल; डीआर

मजबूत पहुंच मॉडल = डेटा वर्गीकरण → RBAC + ABAC → SOD + JIT/PAM → हार्ड सेगमेंटेशन → लॉग और अलर्ट। यह लीक और दुरुपयोग की संभावना को कम करता है, ऑडिटिंग को गति देता है, और प्लेटफॉर्म को जीडीपीआर/एएमएल/पीसीआई और आंतरिक मानकों की सीमाओं के भीतर रखता है।

अभिगम नीतियां और विभाजन

बी) बीआई ऑडिट विक्रेता

C) prod-DB के लिए DevOps आपातकालीन पहुँच

टीएल; डीआर

हमसे संपर्क करें

त्वरित संपर्क

वीडियो जल्द ही अपडेट किया जाएगा

हम इस समय परियोजनाओं में बहुत व्यस्त हैं