न्यूनतम आवश्यक अधिकारों का सिद्धांत

1) उद्देश्य और परिभाषा

उद्देश्य: केवल उन संसाधनों के लिए उपयोगकर्ता/सेवा की अनुमति देना जो किसी विशिष्ट कार्य के प्रदर्शन के लिए, न्यूनतम पर्याप्त अवधि के लिए और न्यूनतम मात्रा में आवश्यक हैं।

परिभाषा: "अक्षांश (संसाधन), गहराई (संचालन), समय (टीटीएल), संदर्भ (भू/उपकरण/शिफ्ट), संवेदनशीलता (पीआईआई/वित्त) में न्यूनतम।"

2) कार्यान्वयन के बुनियादी सिद्धांत

1. आवश्यकता-से-पता: प्रत्येक अधिकार एक विशिष्ट उद्देश्य (आधार) के साथ जुड़ा हुआ है।

2. टाइम-बाउंड: टीटीएल (जेआईटी) के साथ दिए गए उन्नत अधिकार; स्थायी अधिकार - केवल पढ़ा/नकाबपोश।

3. स्कोप-बाउंड: लीज/क्षेत्र/ब्रांड/परियोजना (किरायेदार/क्षेत्र स्कोपिंग) द्वारा पहुंच सीमित है।

4. डेटा-मिनिमाइजेशन: पीआईआई डिफ़ॉल्ट रूप से नकाबपोश है; डी-मास्क - केवल स्पष्ट जमीन पर।

5. ट्रेसिबिलिटी: कोई भी एक्सेस → + 'उद्देश्य '/' टिकट _ आईडी' लॉग।

6. Revocability: त्वरित प्रतिक्रिया (ऑफबोर्डिंग ≤ 15 मिनट, JIT - स्वचालित प्रतिक्रिया)।

3) अन्य नियंत्रणों के साथ संचार

RBAC: सिद्धांत में कौन (बुनियादी भूमिका) कर सकता है।

ABAC: किन परिस्थितियों (भू, उपकरण/एमडीएम, समय, केवाईसी स्तर, जोखिम) के तहत निर्दिष्ट करता है।

SoD: खतरनाक भूमिका संयोजनों को प्रतिबंधित करता है, संवेदनशील कार्यों के लिए 4-आंखों की आवश्यकता होती है।

विभाजन: नेटवर्क/तार्किक परिधि (भुगतान, केवाईसी, डीडब्ल्यूएच, रहस्य)।

पीएएम/जेआईटी/ब्रेक-ग्लास: अस्थायी विशेषाधिकारों का सुरक्षित जारी करना और उनकी रिकॉर्डिंग।

4) संसाधन और संचालन वर्गीकरण

संचालन: 'READ', 'MASKED _ READ' (PII के लिए डिफ़ॉल्ट), 'LOVE' (स्कोपेड), 'ADEXPORT' (केवल स्टोरफ्रंट के माध्यम से, हस्यम से)।

5) टास्क-टू-एक्सेस राइट्स इंजीनियरिं

1. उपयोगकर्ता कहानी → उद्देश्य: "विश्लेषक को पीआईआई के बिना यूरोपीय संघ रूपांतरण रिपोर्ट बनाने की आवश्यकता है।"

2. संसाधनों की सूची: 'agg _ conversion _ eu' का प्रदर्शन करें।

3. संचालन: 'READ' (PII के बिना), 'EXPORT _ RAW' निषेध।

4. ABAC संदर्भ: व्यावसायिक घंटे, कॉर्प VPN/MDM, क्षेत्र = EU।

5. टीटीएल: लगातार नकाबपोश-पढ़ा; एक बार अनमास्किंग (यदि आवश्यक हो) के लिए जेआईटी।

6. लॉग: 'READ '/' EXPORT' को 'उद्देश्य' और 'fields _ scope' के साथ।

6) मास्किंग और चयनात्मक अनमास्किंग

डिफ़ॉल्ट रूप से ई-मेल/फोन/आईबीएएन/पैन मास्किंग;

अनमास्क्ड एक्सेस ('pii _ unmask') - केवल JIT + 'उद्देश्य' + डोमेन मालिक/अनुपालन की पुष्टि;

रिपोर्टों में - कुल/के-गुमनामी, "छोटे नमूनों" (गोपनीयता सीमा) का निषेध।

7) अस्थायी विशेषाधिकार: जेआईटी और ब्रेक-ग्लास

JIT: 15-120 मिनट, टिकट, ऑटो, पूर्ण ऑडिट।

ब्रेक-ग्लास: आपातकालीन पहुंच (एमएफए + दूसरी पुष्टि, सत्र रिकॉर्डिंग, सुरक्षा + डीपीओ पोस्ट-रिव्यू)।

PAM: गुप्त सुरक्षित, सत्र प्रॉक्सी, विशेषाधिकार रोटेशन।

8) प्रक्रियाएं (एसओपी)

8. 1 एक्सेस ग्रांट (आईडीएम/आईटीएसएम)

1. 'उद्देश्य', संसाधन, टीटीएल/दृढ़ता के साथ दावा।

2. SoD/अधिकार क्षेत्र/डेटा वर्ग/संदर्भ ऑटो-सत्यापन।

3. डोमेन मालिक अनुमोदन; для प्रतिबंधित + - सुरक्षा/अनुपालन।

4. एक न्यूनतम दायरा जारी करना (अक्सर नकाबपोश-पढ़ा)।

5. अधिकारों के रजिस्टर में प्रविष्टि: संशोधन तिथि, एसएलए रिकॉल।

8. 2 री-सर्टिफिकेशन (त्रैमासिक)

डोमेन मालिक प्रत्येक भूमिका/समूह की पुष्टि करता है; अप्रयुक्त अधिकार (> 30/60 दिन) - स्वचालित।

8. 3 डाटा निर्यात

केवल अनुमोदित स्टोरफ्रंट के माध्यम से; प्रारूप व्हाइटलिस्ट; हस्ताक्षर/हैश; डिफ़ॉल्ट रूप से लॉग PII - depersonalized डाउनलोड करें।

9) विक्रेता/उप-प्रोसेसर नियंत्रण

न्यूनतम एपीआई स्कोप, प्रति एकीकरण व्यक्तिगत कुंजी, अनुमति-सूची आईपी, समय विंडो।

DPA/SLA: भूमिकाएँ, पहुँच लॉग, प्रतिधारण, भूगोल, घटनाएँ, उप-प्रोसेसर।

ऑफबोर्डिंग: कुंजी रिकॉल, विलोपन की पुष्टि, समापन अधिनियम।

10) लेखा परीक्षा और निगरानी

Журналы: 'ROME _ ASSIGN/REVOKE', 'JIT _ GRANT', 'READ _ PII', 'EXPLORT _ DATA', 'BREAD _ GRFOVVE E E'।

SIEM/SOAR: 'उद्देश्य' के बिना एक्सेस अलर्ट, असामान्य वॉल्यूम, टाइम-आउट/जियो, SOD उल्लंघन।

वर्म: लॉग + हैश श्रृंखला/हस्ताक्षर की अनियोजित प्रति।

11) परिपक्वता मेट्रिक्स (केपीआई/केआरआई)

कवरेज: RBAC/ABAC ≥ 95% के लिए महत्वपूर्ण प्रणालियों का%।

नकाबपोश पढ़ ता है अनुपात: PII को ≥ 95% कॉल नकाबपोश हैं।

JIT दर: ≥ 80% ऊंचाई JIT है।

ऑफबोर्डिंग टीटीआर: अधिकारों का निरसन ≤ 15 मिनट।

निर्यात हस्ताक्षरित: 100% निर्यात हस्ताक्षरित और लॉग इन हैं।

SoD उल्लंघन: = 0; प्रयास - ऑटो-ब्लॉक/टिकट।

निष्क्रिय पहुंच सफाई: ≥ 98% फांसी के अधिकार 24 घंटे के भीतर हटा दिए जाते हैं।

12) विशिष्ट परिदृश्य

A) VIP क्लाइंट के लिए वन-टाइम KYC दृश्य

मूल: वीआईपी प्रबंधक में नकाबपोश पढ़ा गया।

कार्रवाई: टिकट, फील्ड रिकॉर्डिंग/स्क्रीन लॉग, पोस्ट-रिव्यू पर JIT एक्सेस 'pii _ unmask' for 30 मिनट।

बी) इंजीनियर को प्रोड-डीबी तक पहुंच की आवश्यकता है

केवल PAM + JIT ≤ 60 मिनट के बाद, रिकॉर्ड किए गए सत्र, PII द्वारा 'SELECT' पर प्रतिबंध, उल्लंघन के लिए समीक्षा और CAPA।

C) देश द्वारा द्विपक्षीय रिपोर्ट

पीआईआई के बिना इकाइयों तक पहुंच; ABAC फ़िल्टर: 'क्षेत्र [EEA]', कॉर्प VPN/MDM, समय 08: 00-21: 00।

13) एंटी-पैटर्न और उनसे कैसे बचें

"सुपर भूमिकाएं "/सीमाओं के बिना विरासत - डोमेन भूमिकाओं में विभाजित, एबीएसी शामिल हैं।

स्थायी विशेषाधिकार "सिर्फ मामले में" → JIT + ऑटो।

Dev/stage → aliasing/synthetics पर प्रॉड डेटा की नकल कर रहा है।

स्टोरफ्रंट के बाहर PII निर्यात करें - व्हाइटलिस्टिंग, हस्ताक्षर, पत्रिका, मास्किंग।

'उद्देश्य' की अनुपस्थिति - हार्ड ब्लॉक और ऑटो-टिकट।

14) आरएसीआई (बढ़ाहुआ)

15) चेकलिस्ट

15. 1 एक्सेस देने से पहले

• निर्दिष्ट 'पुरपोज' और टीटीएल
• SoD/न्यायालय सत्यापित
• डिफ़ॉल्ट मास्किंग, न्यूनतम दायरा
• ABAC शर्तें नेटवर्क/उपकरण/समय/क्षेत्र
• लॉगिंग और संशोधन तिथि विन्यस्त

15. 2 त्रैमासिक

• भूमिकाओं/समूहों का संशोधन, स्वचालित "फांसी" अधिकार
• असामान्य निर्यात और ब्रेक-ग्लास के लिए जांच करें
• गोपनीयता/सुरक्षा प्रशिक्षण की पुष्टि

16) कार्यान्वयन रोडमैप

सप्ताह 1-2: डेटा/सिस्टम इन्वेंट्री, वर्गीकरण, बुनियादी भूमिका मैट्रिक्स, डिफ़ॉल्ट मास्किंग को सक्षम करना।

सप्ताह 3-4: ABAC (बुधवार/भू/एमडीएम/समय), JIT और PAM, निर्यात श्वेतलिस्ट, 'उद्देश्य' लॉग

महीना 2: ऑफबोर्डिंग ऑटोमेशन, SOAR अलर्ट ('उद्देश्य '/विसंगतियों के बिना), त्रैमासिक पुन: प्रमाणीकरण।

महीना 3 +: विशेषताओं का विस्तार (सीयूएस स्तर/उपकरण जोखिम), गोपनीयता सीमा, नियमित टेबलटॉप अभ्यास।

टीएल; डीआर

कम से कम विशेषाधिकार = न्यूनतम गुंजाइश + पीआईआई मास्किंग + एबीएसी संदर्भ + जेआईटी/पीएएम + हार्ड ऑडिट और त्वरित रिकॉल। पहुंच प्रबंधनीय बनाता है, लीक/धोखाधड़ीके जोखिम को कम करता है, और ऑडिट को गति देता है।