Il principio dei diritti minimi necessari
1) Obiettivo e definizione
Obiettivo: consentire all'utente/servizio di accedere solo alle risorse strettamente necessarie per l'esecuzione di una determinata attività, per un periodo di tempo minimo e minimo.
Definizione: «minimo per ampiezza (risorse), profondità (operazioni), tempo (TTL), contesto (geo/dispositivo/cambio), sensibilità (PII/finanza)».
2) Principi di base per l'implementazione
1. Need-to-Know: ogni diritto è associato a uno specifico purpose (base).
2. Time-Bound - I diritti elevati vengono assegnati con TTL (JIT); permessi permanenti - solo read/masked.
3. Scope-Bound: accesso limitato per affitto/regione/marchio/progetto (tenant/region scoping).
4. Data-Minimization: PII predefinito mascherato de-mask - solo se esplicito.
5. Traceability: qualsiasi accesso al registro + «purpose »/« ticket _ id».
6. Revocability: recensione rapida (offboarding di 15 minuti, JIT di risposta automatica).
3) Comunicazioni con altri controllori
RBAC - Specifica chi può essere in linea di principio (ruolo di base).
ABAC: specifica in quali condizioni (geo, dispositivo/MDM, tempo, livello KYC, rischio).
SoD: vieta combinazioni pericolose di ruoli, richiede 4-eyes per azioni sensibili.
Segmentazione: perimetri di rete/logica (pagamento, KYC, DWH, segreti).
PAM/JIT/break-glass: rilascia e scrive privilegi temporanei sicuri.
4) Classificazione delle risorse e delle operazioni
Le operazioni sono «READ», «MASKED _ READ» (predefinito PII), «WRITE» (scoped), «APPROVE _» (4-eyes), «EXPORT» (solo vetrine, firma/registro).
5) Ingegneria dei diritti da attività a accesso
1. User Story → Purpose: «L'analista deve costruire un rapporto di conversione UE senza PII».
2. Elenco delle risorse: vetrina «agg _ conversioni _ eu».
3. Operazioni: «READ» (senza PII), disattivato «EXPORT _ RAW».
4. Contesto ABAC: ore lavorative, corp-VPN/MDM, regione = EU.
5. TTL: masked-read permanente; JIT per il demasking singolo (se necessario).
6. I registri sono «READ »/« EXPORT» con «purpose» e «fields _ scope».
6) Maschera e demascolarizzazione selettiva
Maschera predefinita e-mail/telefono/BAN/PAN;
Accesso non prenotato («pii _ unmask») - solo JIT + «purpose» + conferma del proprietario del dominio/Compliance;
I report includono aggregazioni/a-anonimato e la proibizione di piccoli campionamenti (privacy thresholds).
7) Privilegi temporanei: JIT e break-glass
JIT: 15-120 minuti, sotto ticket, rilascio automatico, controllo completo.
Break-glass - Accesso di emergenza (MFA + seconda conferma, scrittura sessione, post-review Sicurezza + DPO).
La cassaforte dei segreti, il proxy di sessione, la rotazione dei privilegi.
8) Processi (SOP)
8. 1 Accesso (IDM/ITSM)
1. Richiesta con «purpose», risorse, TTL/costanza.
2. Caricatore automatico SoD/giurisdizione/classe di dati/contesti.
3. Approvazione del proprietario del dominio для Restricted+ — Security/Compliance.
4. Rilascia un scoop minimo (spesso masked-read).
5. Registrazione del registro dei diritti: data di revisione, revoca SLA.
8. 2 E-certificazione (quarterly)
Il proprietario del dominio conferma ogni ruolo/gruppo; diritti non utilizzati (> 30/60 giorni) - Rilascio automatico.
8. 3 Esportazione dati
Solo attraverso le vetrine approvate; elenchi bianchi di formati firma/hash; Registro di caricamento PII - impersonalizzato per impostazione predefinita.
9) Controllo dei venditori/sottoprocessori
Scorciatoie API minime, chiavi per integrazione separate, allow-list IP, finestre di tempo.
DPA/SLA: ruoli, registri di accessibilità, retensioni, geografia, incidenti, sottoprocessori.
Off - revoca delle chiavi, conferma della cancellazione, atto di chiusura.
10) Controllo e monitoraggio
Журналы: `ROLE_ASSIGN/REVOKE`, `JIT_GRANT`, `READ_PII`, `EXPORT_DATA`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: alert di accesso senza «purpose», volumi anomali, uscita dalla finestra del tempo/geo, violazione del SoD.
WORM: copia invariata dei registri + hash-chain/firma.
11) Metriche di maturità (KPI/KRI)
Coverage:% sistemi critici con RBAC/ABAC ≥ 95%.
Masked Reads Ratio: il 95% degli accessi al PII sono mascherati.
JIT Rate: l' 80% degli aumenti di patente va come JIT.
Offboarding TTR: revoca dei diritti per 15 minuti
Exports Signed: il 100% degli esportatori sono firmati e accesi.
SoD Violations: = 0; tentativi - Blocco automatico/ticket.
Dormant Access Cleanup: il 98% dei permessi «sospesi» vengono rimossi entro 24 ore.
12) Script tipici
A) Anteprima singola di KYC per il client VIP
Base: masked-read dal responsabile VIP.
Azione: Accesso JIT «pii _ unmask» per 30 minuti in ticket, scrittura dei campi/screen-logs, post-review.
B) L'ingegnere ha bisogno di un accesso prod-BD
Solo PAM + JIT ≤ 60 minuti, sessione registrata, disabilitazione «SELECT» per PII, post-review e CAPE per violazioni.
C) report BI con taglio nazionale
Accesso alle unità senza PII; filtro ABAC: 'region in [EEA]', corp-VPN/MDM, ore 08: 00-21: 00.
13) Anti-pattern e come evitarli
SuperRoli/Ereditarietà Senza Confini è in grado di dividere i ruoli di dominio, includere ABAC.
Privilegi permanenti «in caso di emergenza» per l'autolesionismo JIT +.
Copia i dati prod in def/stage, alias/sintetico.
Esporta PII fuori dalle vetrine, elenchi bianchi, firma, registro, maschera.
L'assenza dì purpose "è un blocco rigido e un ticket automatico.
14) RACI (ingrandito)
15) Assegno fogli
15. 1 Prima dell'accesso
- Specificato «purpose» e TTL
- Controllo SoD/giurisdizioni completato
- Maschera predefinita, minime
- Condizioni ABAC: rete/dispositivo/tempo/regione
- Registro e data di revisione configurati
15. 2 Trimestrale
- Revisione di ruoli/gruppi, rilascio automatico dei diritti pendenti
- Controllo di esportazioni anomale e break-glass
- Formazione confermata su privacy/sicurezza
16) Road map di implementazione
Settimane 1-2: inventario dei dati/sistemi, classificazione, matrice di base dei ruoli, mappatura predefinita.
Settimane 3-4: ABAC (mercoledì/geo/MDM/ora), JIT e PAM, White Export List, riviste «purpose».
Mese 2: automazione di offboarding, alert SOAR (senza «purpose »/anomalie), e certificazione e certificazione trimestrale.
Mese 3 +: estensione degli attributi (livello CUS/rischio dispositivo), privacy thresholds, esercitazioni tabletop regolari.
TL; DR
Least Privilege = scorrimento minimo + maschera PII + contesto ABAC + JIT/PAM + controllo rigido e recensione rapida. Rende l'accesso gestibile, riduce il rischio di fughe/frodi e accelera il passaggio delle udienze.