მინიმალური საჭირო უფლებების პრინციპი

1) მიზანი და განმარტება

მიზანი: მომხმარებლის/სერვისის დაშვება მხოლოდ იმ რესურსებზე, რომლებიც მკაცრად აუცილებელია კონკრეტული დავალების შესასრულებლად, მინიმალური საკმარისი ვადით და მინიმალური ოდენობით.
განმარტება: „მინიმალური სიგანე (რესურსები), სიღრმე (ოპერაცია), დრო (TTL), კონტექსტი (გეო/მოწყობილობა/ცვლილება), მგრძნობელობა (PII/ფინანსები)“.

2) განხორციელების ძირითადი პრინციპები

1. Need-to-Know: თითოეული უფლება დაკავშირებულია კონკრეტულ purpose (ბაზასთან).
2. Time-Bound: გაზრდილი უფლებები მოცემულია TTL- ით (JIT); მუდმივი უფლებები - მხოლოდ read/masked.
3. Scope-Bound: წვდომა შეზღუდულია იჯარით/რეგიონით/ბრენდით/პროექტით (tenant/region scoping).
4. Data-Minimization: PII სტანდარტულად შენიღბულია; დე მასკი - მხოლოდ აშკარა საფუძველზე.
5. Traceability: ნებისმიერი წვდომა ჟურნალში + 'purpose '/' ticket _ id'.
6. Revocability: სწრაფი მიმოხილვა (ოფშორული - 15 წუთი, JIT - ავტო სესხი).

3) კომუნიკაცია სხვა კონტროლებთან

RBAC: ადგენს ვინ, პრინციპში, შეუძლია (ძირითადი როლი).
ABAC: განმარტავს რა პირობებში (გეო, მოწყობილობა/MDM, დრო, KYC დონე, რისკი).
SoD: კრძალავს როლების საშიშ კომბინაციებს, მოითხოვს 4-eyes მგრძნობიარე ქმედებებისთვის.
სეგმენტი: ქსელის/ლოგიკური პერიმეტრები (გადახდა, KYC, DWH, საიდუმლოებები).
PAM/JIT/break-glass: უსაფრთხო დროებითი პრივილეგიების გაცემა და მათი ჩაწერა.

4) რესურსებისა და ოპერაციების კლასიფიკაცია

ოპერაციები: 'READ', 'MASKED _ READ' (ნაგულისხმევი PII- სთვის), 'WRITE' (scoped), 'APPROVE _' (4-eyes), '(მხოლოდ ფანჯრების საშუალებით, ხელმოწერა/ჟურნალი).

5) უფლებების ინჟინერია „დავალებიდან წვდომამდე“

1. User Story - Purpose: „ანალიტიკოსმა უნდა შექმნას ევროკავშირის კონვერტაციის ანგარიში PII- ს გარეშე“.
2. რესურსების სია: ვიტრინა 'agg _ conversions _ eu'.
3. ოპერაციები: 'READ' (PII გარეშე), აკრძალვა 'EXPORT _ RAW'.
4. ABAC კონტექსტი: სამუშაო საათები, კორპუსი-VPN/MDM, რეგიონი = EU.
5. TTL: მუდმივი masked read; JIT ერთჯერადი დემარკაციისთვის (საჭიროების შემთხვევაში).
6. ჟურნალები: 'READ '/' EXPORT' s 'purpose' და 'fields _ scope'.

6) შენიღბვა და შერჩევის დემო

ელექტრონული ფოსტის/ტელეფონის შენიღბვა/IBAN/PAN ნაგულისხმევი;

მიუწვდომელი წვდომა ('pii _ unmask') - მხოლოდ JIT + 'purpose' + დომენის მფლობელის დადასტურება/Compliance;

მოხსენებებში მოცემულია დანაყოფები/ანონიმურობა, „მცირე ნიმუშების“ აკრძალვა.

7) დროებითი პრივილეგიები: JIT და break-glass

JIT: 15-120 წუთი, თიკეტისთვის, მანქანის მისაღებად, სრული აუდიტისთვის.
Break glass: გადაუდებელი წვდომა (MFA + მეორე დადასტურება, სესიის ჩაწერა, უსაფრთხოების + DPO პოსტ-გამოსხივება).
PAM: საიდუმლოების სეიფი, სესიის მარიონეტული, პრივილეგიების როტაცია.

8) პროცესები (SOP)

8. 1 წვდომა (IDM/ITSM)

1. განაცხადი 'purpose', რესურსებით, TTL/გამძლეობით.
2. მანქანის მრჩეველი SoD/იურისდიქცია/მონაცემთა კლასი/კონტექსტები.
3. დომენის მფლობელის დამტკიცება; для Restricted+ — Security/Compliance.
4. მინიმალური ნაკადის გაცემა (ხშირად masked read).
5. უფლებების რეესტრში ჩაწერა: გადასინჯვის თარიღი, მიმოხილვის SLA.

8. 2 R სერტიფიკაცია (quarterly)

დომენის მფლობელი ადასტურებს თითოეულ როლს/ჯგუფს; გამოუყენებელი უფლებები (> 30/60 დღე) - ავტო წარმოება.

8. 3 მონაცემთა ექსპორტი

მხოლოდ დამტკიცებული ფანჯრების საშუალებით; ფორმატის თეთრი სიები; ხელმოწერა/ჰაში; გადმოტვირთვის ჟურნალი; PII - ნაგულისხმევი ანონიმურია.

9) მოვაჭრეების/ქვე-პროცესორების კონტროლი

მინიმალური API სკოპები, ინდივიდუალური ინტეგრაციის გასაღებები, allow-list IP, დროის ფანჯრები.
DPA/SLA: როლები, წვდომის ჟურნალები, რეპროდუქცია, გეოგრაფია, ინციდენტები, სუბპრესორები.
ოფბორდი: გასაღებების მიმოხილვა, მოცილების დადასტურება, დახურვის აქტი.

10) აუდიტი და მონიტორინგი

Журналы: `ROLE_ASSIGN/REVOKE`, `JIT_GRANT`, `READ_PII`, `EXPORT_DATA`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: წვდომის ალერტები 'purpose' გარეშე, არანორმალური მოცულობები, დროის/გეოს გასასვლელი, SoD დარღვევა.
WORM: ჟურნალების უცვლელი ასლი + მძიმე ჯაჭვები/ხელმოწერები.

11) სიმწიფის მეტრიკა (KPI/KRI)

Coverage: კრიტიკული სისტემების% RBAC/ABAC ქვეშ - 95%.
Masked Reads Ratio: PII- ს მიმართვის 95% -ზე მეტი შენიღბულია.
JIT Rate: უფლებების ზრდის 80% -ზე მეტი JIT- ს ჰგავს.

Offboarding TTR: უფლებების გაუქმება 15 წთ

Exports Signed: ექსპორტის 100% გაფორმებულია და დამწვარია.
SoD Violations: = 0; მცდელობები - ავტო ბლოკი/ტიკეტი.
Dormant Access Cleanup: „ჩამოკიდებული“ უფლებების 98% -ზე მეტი ამოღებულია 24 საათის განმავლობაში.

12) ტიპიური სცენარები

ა) ერთჯერადი KYC ნახვა VIP კლიენტისთვის

ძირითადი: masked read VIP მენეჯერთან.
მოქმედება: JIT წვდომა 'pii _ unmask' 30 წუთის განმავლობაში ticet- ზე, ველების/screen-log- ის ჩაწერა, პოსტ-რევიზიით.

B) ინჟინერს სჭირდება წვდომა secret-BD- ზე

მხოლოდ PAM + JIT- ის საშუალებით - 60 წუთი, ჩაწერილი სესია, PII აკრძალვა „SELECT“, პოსტრევიუმი და CAPA დარღვევების დროს.

C) BI ანგარიში ქვეყნის მასშტაბით

დანაყოფებზე წვდომა PII გარეშე; ABAC ფილტრი: 'region in [EEA]', corp-VPN/MDM, დრო 08: 00-21: 00.

13) ანტი-ნიმუშები და როგორ მოვერიდოთ მათ

Superroles/მემკვიდრეობა საზღვრების გარეშე - აფეთქება აფეთქების ღუმელის როლებზე, ჩართეთ ABAC.
მუდმივი პრივილეგიები „მხოლოდ შემთხვევაში“ - JIT + ავტომობილების წარმოება.
dev/stage მონაცემების კოპირება არის ფსევდონიზაცია/სინთეზური.
PII- ის ექსპორტი ფანჯრების გარეთ - თეთრი სიები, ხელმოწერა, ჟურნალი, შენიღბვა.
'purpose' - ის არარსებობა არის მძიმე ბლოკი და მანქანის ტიკეტი.

14) RACI (გაფართოებული)

15) ჩეკის ფურცლები

15. 1 დაშვებამდე

• მითითებულია 'purpose' და TTL
• SoD/იურისდიქციების შემოწმება დასრულდა
• შენიღბვა ნაგულისხმევი, მინიმალური სიჩქარე
• ABAC პირობები: ქსელი/მოწყობილობა/დრო/რეგიონი

ჟურნალისტიკა და გადასინჯვის თარიღი

15. 2 კვარტალი

• როლების/ჯგუფების აუდიტი, „ჩამოკიდებული“ უფლებების ავტო სესხი
• არანორმალური ექსპორტის და break-glass- ის შემოწმება
• დადასტურებული სწავლება კონფიდენციალურობის/უსაფრთხოების შესახებ

16) გზის განხორციელების რუკა

კვირები 1-2: მონაცემთა/სისტემების ინვენტარიზაცია, კლასიფიკაცია, როლების ძირითადი მატრიცა, ნაგულისხმევი ნიღბების ჩართვა.
კვირები 3-4: ABAC (ოთხშაბათი/გეო/MDM/დრო), JIT და PAM, ექსპორტის თეთრი სიები, ჟურნალები 'purpose'.
თვე 2: ავტომატიზაცია, SOAR ალერტები ('purpose '/ანომალიების გარეშე), კვარტალური რესტრუქტურიზაცია.
თვე 3 +: ატრიბუტების გაფართოება (KUS დონე/მოწყობილობის რისკი), პირადი thresholds, რეგულარული tabletop სავარჯიშოები.

TL; DR

Least Privilege = მინიმალური სკოპი + შენიღბვა PII + ABAC + JIT/PAM + კონტექსტი მკაცრი აუდიტი და სწრაფი მიმოხილვა. წვდომა კონტროლდება, ამცირებს გაჟონვის/თაღლითობის რისკს და აჩქარებს აუდიტს.