Separazione delle responsabilità e dei livelli di accesso

1) Obiettivi e principi

• escludere il controllo singolo delle operazioni critiche (denaro/PII/compilation),
• ridurre il rischio di frodi/errori,
• garantire la validità per i regolatori e le verifiche interne.

Principi: Zero Trust· Least Privilege· Need-to-Know '(4-eyes)· Traceability· Revocability (recensione rapida).

2) Classificazione dei dati e livelli di accesso

3) Modello di diritti: RBAC + ABAC

RBAC: ruoli di dominio (Supporto, VIP, Payments, AML, KYC, FRM, BI, DevOps, DPO, Legale).
ABAC: attributi contestuali (ambiente, geografia, classe di dati, dispositivo/MDM, tempo, livello KYC, obiettivo di accesso «purpose», rischio dispositivo).

Esempio di condizione ABAC: un analista di BI può leggere «events _» solo senza PII, solo dalla rete aziendale/MDM, nelle giornate 08: 00-21: 00, se c'è un training attivo sulla privacy.

4) SoD - matrice di funzioni incompatibili

5) Livelli e tipi di accesso

Read-only/Masked Read: predefinito per BI/Support.
Scoped Write - Modifiche al servizio/regolamento (ad esempio, inserimento di note sulla valigetta).
Privileged Emmin: solo tramite PAM (cassaforte, proxy di sessione, registrazione sessione, rotazione dei segreti).
API/Service Accounts: scatti minimi, chiavi separate per integrazione, mTLS.

6) JIT и break-glass

JIT (Just-in-Time) - Aumento temporaneo dei diritti (15-120 min) per un ticket specifico, recensione automatica, «purpose» obbligatorio.
Break-glass: accesso di emergenza con MFA + seconda conferma, registrazione sessione, post-review Sicurezza + DPO, arresto automatico dell'incidente in caso di violazione.

7) Processi (SOP)

7. 1 Richiesta/modifica di accesso (IDM/ITSM)

1. Richiesta con «purpose», scadenza e proprietario dei dati.
2. Rivenditore automatico SoD/classe dati/giurisdizione.
3. Approvazione del proprietario di dominio + Security (per Restrited +).
4. Rilascia JIT/Accesso continuo (scorta minima).
5. Iscrizione al registro dei diritti (data di revisione, ritiro SLA).

7. 2 E-certificazione diritti

Trimestralmente, i proprietari confermano i diritti dei gruppi/utenti.
Rilascio automatico dei diritti inutilizzati (> 30/60 giorni).

7. 3 Esportazione dati

Solo attraverso vetrine/pipeline approvate; maschera predefinita elenchi bianchi di destinatari/formati firma/hash; Registro degli scarichi.

8) Controllo dei venditori/partner

Tenenti B2B separati, API minime, allow-list IP, finestre di tempo.
DPA/SLA: loghi di disponibilità, conservazione, geografia, incidenti, sottoprocessori.
Off - revoca delle chiavi, conferma della cancellazione, atto di chiusura.

9) Integrazione con la sicurezza e la compliance

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: alert per volumi/accessi anomali senza «purpose »/uscita dalla finestra/geo.
GDPR/AML/PCI: Need-to-Know, compatibilità DSAR, segregazione del perimetro di pagamento, WORM per i registri.

10) Criteri di esempio (sezioni)

10. 1 Policy Manager VIP

Visualizzazione mascherata del profilo, divieto di esportazione, JIT per una singola visualizzazione di KYC tramite ticket.

10. 2 Politica per l'analista di marketing

Solo unità senza PII; Accesso in caso di consenso (CMP flag), da un dispositivo MDM, durante l'orario di lavoro.

10. 3 Pseudo-YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12) Metriche e KRIS/KPIS

Coverage ABAC: ≥ il 95% dei set critici sotto le regole degli attributi.
JIT-rate: l' 80% degli aumenti di autorizzazione va come JIT.
Offboarding TTR: ritiro di 15 minuti dal licenziamento/disattivazione.
Disponibilità anomale senza «purpose»: = 0 (KRI).
Quarterly recertification: 100% ruoli/gruppi confermati.
Export compliance: il 100% degli esportatori sono stati firmati/accesi.

13) Assegno fogli

13. 1 Prima dell'accesso

• Definito'purpose ', data di scadenza, proprietario dei dati
• Verifica SoD/giurisdizioni/classe dati completata
• Set minimo + maschera abilitata
• MFA/MDM/Condizioni di rete soddisfatte
• Registro configurato e data di revisione

13. 2 Revisione trimestrale

• Incrocia gruppi/ruoli con organigramma
• Revoca diritti inutilizzati
• Controlla break-glass e grandi espositori
• Conferma formazione (privacy/sicurezza)

14) Tipi di script e misure

A) L'ingegnere ha bisogno di accesso temporaneo al prod-database

JIT 30-60 min, sessione registrata tramite PAM, post-review, CAPA in caso di violazioni.

B) Un nuovo affiliato chiede di scaricare i giocatori

Solo aggregazioni/anonimato; se il PI è un contratto, una base legale, una lista bianca dei campi, un registro/firma, un periodo limitato di riferimento.

C) Il responsabile VIP vuole vedere i documenti KYC

Divieto di accesso diretto; una richiesta tramite AML/KYC, una singola estrazione tramite JIT, un elenco completo dei campi.

15) Road map di implementazione

Settimane 1-2: inventario dei sistemi/dati, classificazione, matrice RBAC di base, tabella SoD primaria.
Settimane 3-4: implementazione di ABAC (ambiente/geo/classe/MDM), JIT e break-glass, avvio di PAM, registri di esportazione.
Mese 2: segmentazione di CUS/perimetro di pagamento, chiavi singole/KMS, alert SOAR per violazioni di SoD/ABAC.
Mese 3 +: e-certificati trimestrali, estensione degli attributi (rischio del dispositivo/tempo), automazione del masking, routine tabletop-esercitazioni.

TL; DR

Un modello di accesso affidabile = classificazione dei dati RBAC + ABAC con 4-eyes JIT/PAM e un rigido controllo della certificazione e del controllo regolari delle esportazioni. Ciò riduce la possibilità di abuso e accelera il passaggio di verifiche/controlli regolatori.