アイデンティティ監査
1）目的と結果
目標：誰がどこで、なぜアクセスできるかを定期的に検証することにより、Zero Trustの原則と最低限の特権を確実に遵守すること。
結果：確認された所有者とのアイデンティティと権利の完全かつ最新のレジスタ、「凍結」アクセス、内部統制と規制当局のための正式な証拠ベースを排除しました。
2）スコープ
社内ユーザー：スタッフ、インターン、スーパーバイザー、一時的な役割。
契約者/パートナー：ゲームスタジオ、PSP/KYC/AMLプロバイダー、アフィリエイト。
サービスアイデンティティ：ボット、CI/CD、インテグレーション、キー、APIトークン。
特権的な役割：インフラストラクチャ/データベース管理者、支払い、リスク、取引。
プレーヤー（KYCコンテキスト内）：KYCプロファイル↔ RG/AMLステータス↔アカウントバンドルの正確性（ドキュメントコンテンツではなくプロセスをチェックする）。
3）利用規約と原則
アイデンティティ：属性を持つ一意のエンティティ（個人/サービス）。
エンタイトルメント：リソースの特定の権利/役割。
JML： Joiner→Mover→Leaver-アイデンティティのライフサイクル。
SoD：高リスクオペレーションのための職務の分離。
Lost Privilege&Just-in-Time （JIT）：期間限定で付与される最低限の権利セット。
説明責任：各アイデンティティには所有者があり、それぞれの権利にはビジネスケースと用語があります。
4）真実とデータモデルの情報源
HRIS/HRシステム：従業員のステータスの主なソース（雇用/移動/終了）。
IdP/SSO：単一の認証ポイント（MFA/FIDO2）、フェデレーション。
IAM/IGA：再認証の役割、ポリシー、およびプロセスのカタログ。
CMDB/サービスカタログ：システムとアクセスループの所有権。
プロバイダプラットフォーム：PSP/KYC/CDN/WAF/ゲームプロバイダ-外部アクセスポータル。
Модель：アイデンティティ→（所属）→組織単位/チーム→（持っている）→役割→（ABAC経由で展開）→エンタイトルメント→（適用）→リソース。
5）監査される制御
1.どこでもSSOとMFA（ローカルアカウントと共有アカウントなし）。
2.RBAC/ABAC/PBAC：ポリシー（policy-as-code）、役割-典型的で一貫した。
3.SoD：互換性のないロールと例外が形式化されます。
4.JIT/PAM：チケット、セッション録音、オートリコールによる一時的なプロモーション。
5.Secrets/Keys： Secrets Managerに保存され、回転と寿命があります。
6.ログと証明：改ざん証拠、コヒーレント追跡who/what/where/when/why。
7.データアクセス：PIIマスキング、エクスポート-暗号化とTTLを使用したワークフローのみ。
6）監査プロセス（エンドツーエンド）
1.準備： システムによる権利のスナップショット（権限スナップショット）の凍結；IdP/IAM/プロバイダからダウンロード
2.正規化：ロールをディレクトリにマッピング、重複除外、リソース所有者によるグループ化。
3.リスク分類：P1/P2（特権と機密性）→優先度検証。
4.権利の再認証：システム所有者が権利を確認/拒否する（アクセスレビューキャンペーン）。
5.SoDの非互換性と一時的な例外のチェック（有効期限付き）。
6.JML和解：hire/move/exitを実際の権利（外部ポータルを含む）にマッピングします。
7.サービスアカウント：所有者の可用性、短命トークン、「神の範囲」はありません。
8.証拠ベース：アーティファクト（レポート、アップロード、行為）のパッケージの形成。
9.修復プラン：リコール/訂正、期限、責任者のチケット。
10.最終報告：リスクステータス、サイクルKPI、教訓学習、ポリシー改善。
7） JMLの輪郭（私達がより深く点検する）
Joiner：基本的な役割の自動割り当て、ディレクトリ外の手動の「追加」の禁止。
Mover：コマンド/ロケーションの変更→ロールの自動交換、古い権限の失効。
リーバー：X分/時間内のすべての権利の失効、メール/VPN/プロバイダポータルの閉鎖、キーとトークンの無効化。
8）外部依存関係とポータル
PSP/KYC/AML/CDN/WAF/ゲームプロバイダ：各アカウントには、所有者、目標、期限、MFA、共有アカウントの禁止があります。
契約SoD/SLA： P1オペレーションのデュアルコントロールの可用性（支払ルーティングの変更、ボーナス制限など）。
定期的な調整：外部ポータルの登録↔現在のユーザーのリスト↔再認証結果。
9） iGamingドメインの機能
支払いとリスク：SoDブランチを選択します。制限/ルーティングの変更の更新；手動調整の監査。
取引/要因：モデリングのためのサンドボックス、個々のパブリッシングの役割、クイックロールバック；ログを変更します。
責任あるゲーム/KYC/PII：厳格な輸出管理、BIでのマスキング、レギュレータ要求のSLA処理。
アフィリエイトとストリーマー：PIIにアクセスできないレポート機能を備えた限定ポータル。
10）コードとしてのポリシー（PaC）
リポジトリ内のポリシー（Rego/YAML）、 PRレビュー、テスト。
environment （prod）、 time、 location、 criticality of the operation、 KRIシグナル（例えば、sensitive actionsのサージ）。
JITプロモーションのチケットと目標への必須拘束。
11）ジャーナルとprovability
イベントチェーン：管理コンソール/IdP→API→データベース→外部プロバイダ。
タンパー明白：WORM/immutable貯蔵、記録の署名、厳密なTTL。
検索と応答：内部/外部の要求への応答のSLA（監査、規制当局、銀行/パートナー）。
12）メトリクスとKPI/KRI
KPI：- 確認済みの権利の共有（再認証）、期限切れのキャンペーンの％。
- 解雇から完全な権利の取り消し（MTTR-leaver）までの時間。
- JITの増分と永続的な権限の共有。
- 1サイクルあたりの解決済みSoD競合の数。
- カバーされたシステムと外部ポータルの完全性。
- 敏感な行為の付着（PIIの輸出、PSPの変更）。
- 未使用の権利>N日。
- 後監査無しの壊れ目ガラス。
- 所有者/目的/期間のないアカウント。
13）実施ロードマップ（8-12週）
ネッド。1-2： IDおよびシステムの在庫（外部ポータルを含む）、ロールカタログおよびSoDマトリックス。
ネッド。3-4：どこでもSSO/MFA接続、エンタイトルメントの単一のコレクション、最初のスナップショットレポート。
ネッド。5-6： IGA再認証キャンペーンの開始（優先度P1/P2）、 Leaverの自動リコール。
ネッド。7-8：生産回路、録音セッション、プロバイダからの共有アカウントの禁止のためのJIT/PAM。
ネッド。9-10： PaC：キーポリシーの形式化（エクスポートPII、 PSPルーティング、リリース）、ポリシーのユニットテスト。
ネッド。11-12： KPI/KRIダッシュボード、四半期ごとのサイクル規制、コンプライアンス/レギュレータの報告。
14）アーティファクトパターン
ロールカタログ：役割、説明、最小権限、所有者、適用可能性（テナント/地域/環境）。
SoDマトリックス-互換性のないロール/操作、例外、例外用語、および例外所有者。
アクセスレビューパック：権利確認シート、コメント、結果（承認/取り消し/軽減）。
サービスアカウント登録：目的、所有者、生涯、スコープ、秘密の保管場所、回転スケジュール。
外部ポータル在庫：システム、連絡先、ユーザーリスト、MFA、最後の再認証日。
証拠チェックリスト：アップロード/ログと監査のために保存する形式。
15） Antipatterns
一般的なアカウントと「永遠に管理者」。
IdP/IGAをバイパスする権利の手動の問題。
有効期限のないSoDまたは「一時的な例外」許容はありません。
ローテーション/オーナーなしのサービストークン。
ワークフローと暗号化なしで「文字で」PIIをエクスポートします。
外部ポータル（PSP/KYC/ゲームプロバイダ）の監査はありません。
16）頻繁な監査の発見および速い訂正
解雇/請負業者からのアクセスを凍結：人事イベント（Leaver）で自動フィードバックを有効にします。
冗長ロール：小さなロールに分解し、ABAC属性をバインドします。
プロバイダとの共有アカウント：個人+MFAへの移行、まれなタスクの一時的な役割の発行。
長寿命の秘密：短寿命のトークン/証明書に切り替えると、ローテーションが計画されています。
17）インシデント管理の束
アクセスコンポーネント→リスクとポリシーのレジスタの必須更新、影響を受けたロールのポイント再認証、アクションアイテム（および期限）の死後のすべてのインシデント。
合計
アイデンティティ監査は、繰り返し可能で自動化されたサイクルです。アイデンティティと権利の完全なレジスタ→リスク指向の再認証→ハードJMLとJIT/PAM→ポリシーをコードとして実行可能な監査→サイクルの結果を改善します。このループは、悪用やエラーの可能性を減らし、調査をスピードアップし、コンプライアンスを強化し、iGamingプラットフォームの主要な業務を保護します。