პასუხისმგებლობების გამიჯვნა და დაშვების დონე

1) მიზნები და პრინციპები

• გამორიცხეთ მარტოხელა კონტროლი კრიტიკულ ოპერაციებზე (ფული/PII/შესაბამისობა),
• შეამცირეთ თაღლითობის/შეცდომების რისკი,
• უზრუნველყოს შემოწმება რეგულატორებისა და შიდა აუდიტებისთვის.

პრინციპები: Zero Trust· Least Privilege· Need-to-Know· SoD (4-eyes)· Traceability· Revocability (სწრაფი მიმოხილვა).

2) მონაცემთა კლასიფიკაცია და წვდომის დონე

3) უფლებების მოდელი: RBAC + ABAC

RBAC: როლები დომენებზე (Support, VIP, Payments, AML, KYC, FRM, BI, DevOps, DPO, Legal).
ABAC: კონტექსტური ატრიბუტები (გარემო, გეოგრაფია, მონაცემთა კლასი, მოწყობილობა/MDM, დრო, KYC დონე, წვდომის მიზანი „purpose“, მოწყობილობის რისკი).

ABAC პირობების მაგალითი: BI- ს ანალიტიკოსს შეუძლია წაიკითხოს 'events _' მხოლოდ PII- ს გარეშე, მხოლოდ კორპორატიული ქსელიდან/MDM, სამუშაო დღეებში 08: 00-21: 00 საათზე, თუ არსებობს აქტიური კონფიდენციალურობის ტრენინგი.

4) SoD - შეუსაბამო ფუნქციების მატრიცა

5) წვდომის დონე და ტიპები

Read-only/Masked Read: ნაგულისხმევი BI/Support.
Scoped Write: ცვლილებები მომსახურების/რეგლამენტის ფარგლებში (მაგ., საქმესთან დაკავშირებით ნოტების შეყვანა).
Privileged Admin: მხოლოდ PAM- ის საშუალებით (პაროლის სეიფი, სესიის მარიონეტული, სესიის ჩანაწერი, საიდუმლოებების როტაცია).
API/Service Accounts: მინიმალური სკოპები, ინდივიდუალური გასაღებები ინტეგრაციისთვის, mTLS.

6) JIT и break-glass

JIT (Just-in-Time): უფლებების დროებითი ზრდა (15-120 წთ) კონკრეტული თიკეტისთვის, ავტომატური მიმოხილვისთვის, სავალდებულო 'purpose'.
Break-glass: სასწრაფო დახმარების დაშვება MFA + - სთან მეორე დადასტურებით, სხდომის ჩანაწერი, უსაფრთხოების + DPO პოსტ - მიმოხილვა, ინციდენტის დარღვევა.

7) პროცესები (SOP)

7. 1 მოთხოვნა/წვდომის ცვლილება (IDM/ITSM)

1. განაცხადი 'purpose', მონაცემთა ვადა და მფლობელი.
2. SoD/მონაცემთა კლასის/იურისდიქციის მანქანის მრჩეველი.
3. დომენის მფლობელის დამტკიცება + უსაფრთხოება (Restricted + - ისთვის).
4. JIT/მუდმივი წვდომის გაცემა (მინიმალური სიჩქარე).
5. ჩაწერა უფლებების რეესტრში (გადასინჯვის თარიღი, მიმოხილვის SLA).

7. 2 უფლებების სერტიფიკაცია

კვარტალურად, მეპატრონეები ადასტურებენ ჯგუფების/მომხმარებლების უფლებებს.
გამოუყენებელი უფლებების ავტომატური მიღება (> 30/60 დღე).

7. 3 მონაცემთა ექსპორტი

მხოლოდ დამტკიცებული ფანჯრების/პაიპლაინების საშუალებით; ნაგულისხმევი შენიღბვა; ადრესატების/ფორმატების თეთრი სიები; ხელმოწერა/ჰაში; გადმოტვირთვის ჟურნალი.

8) მოვაჭრეების/პარტნიორების კონტროლი

ცალკეული B2B ტენანტები, მინიმალური API ნაკრები, allow-list IP, დროის ფანჯრები.
DPA/SLA: წვდომის ლოგოები, შენახვის დრო, გეოგრაფია, ინციდენტები, სუბპროცესორები.
ოფბორდი: გასაღებების მიმოხილვა, მოცილების დადასტურება, დახურვის აქტი.

9) უსაფრთხოებისა და შესაბამისობის ინტეგრაცია

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: ალერტები არანორმალური მოცულობებისთვის/წვდომის გარეშე 'purpose '/გასასვლელი ფანჯარა/გეო.
GDPR/AML/PCI: Need-to-Know, DSAR თავსებადობა, გადახდის პერიმეტრის სეგრეგაცია, ჟურნალებისთვის WORM.

10) მაგალითების პოლიტიკოსები (ფრაგმენტები)

10. 1 VIP მენეჯერი

შენიღბული პროფილის ნახვა, ექსპორტის აკრძალვა, JIT KYC- ის ერთჯერადი ნახვა თიკეტის საშუალებით.

10. 2 პოლიტიკა მარკეტინგის ანალიტიკოსისთვის

მხოლოდ დანაყოფები PII გარეშე; თანხმობის თანდასწრებით (CMP დროშა), MDM მოწყობილობიდან, სამუშაო საათებში.

10. 3 ფსევდო-YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12) მეტრიკი და KRIs/KPIs

Coverage ABAC: კრიტიკული კომპლექტების 95% -იანი ატრიბუტის წესებით.
JIT: უფლებების ზრდის 80% -ზე მეტი JIT- ს ჰგავს.
Offboarding TTR: წვდომის მიმოხილვა 15 წუთზე თანამდებობიდან გათავისუფლების/დეაქტივაციის შემდეგ.
არანორმალური წვდომა 'purpose' გარეშე: = 0 (KRI).
Quarterly recertification: 100% როლები/ჯგუფები დადასტურებულია.
Export compliance: ექსპორტის 100% არის გაფორმებული/დამწვარი.

13) ჩეკის ფურცლები

13. 1 დაშვებამდე

• განსაზღვრულია 'purpose', ვადა, მონაცემთა მფლობელი
• SoD/იურისდიქციების/მონაცემთა კლასის შემოწმება დასრულდა
• მინიმალური სკოპი + ნიღაბი შედის
• MFA/MDM/ქსელის პირობები დაცულია

ჟურნალები და განხილვის თარიღი

13. 2 კვარტალური აუდიტი

შეამოწმეთ ჯგუფები/როლები ორგანულ სტრუქტურასთან

გამოუყენებელი უფლებების ამოღება

• შეამოწმეთ break glass და დიდი ექსპორტები

ტრენინგის დადასტურება

14) ტიპიური სცენარები და ზომები

ა) ინჟინერს სჭირდება დროებითი წვდომა secret-BD- ზე

JIT 30-60 წუთი, სესიის ჩაწერილი PAM, პოსტ-რევიზიით, CAPA დარღვევებით.

ბ) ახალი აფილატი ითხოვს მოთამაშეთა გადმოტვირთვას

მხოლოდ დანაყოფები/ანონიმიზაცია; თუ PII არის ხელშეკრულება, იურიდიული საფუძველი, ველების თეთრი სია, ჟურნალი/ხელმოწერა, შეზღუდული ბმულის ვადა.

C) VIP მენეჯერს სურს ნახოს KYC დოკუმენტები

პირდაპირი დაშვების აკრძალვა; მოთხოვნა AML/KYC- ის საშუალებით, ერთჯერადი გაცემა JIT- ის საშუალებით, საველე ლოგებით სავსე.

15) გზის განხორციელების რუკა

კვირები 1-2: სისტემების/მონაცემების ინვენტარიზაცია, კლასიფიკაცია, ძირითადი RBAC მატრიცა, პირველადი SoD ცხრილი.
კვირები 3-4: ABAC- ის დანერგვა (ოთხშაბათი/გეო/კლასი/MDM), JIT და break-glass, PAM- ის გაშვება, ექსპორტის ჟურნალები.
თვე 2: KUS/გადახდის პერიმეტრის სეგმენტი, ინდივიდუალური გასაღებები/KMS, SOAR ალერტები SoD/ABAC დარღვევებისთვის.
თვე 3 +: კვარტალური R- სერთიფიკატები, ატრიბუტების გაფართოება (მოწყობილობის/დროის რისკი), შენიღბვის ავტომატიზაცია, რეგულარული tabletop სავარჯიშოები.

TL; DR

საიმედო წვდომის მოდელი = მონაცემთა კლასიფიკაცია - RBAC + ABAC - SoD 4-eyes - JIT/PAM და მკაცრი აუდიტი - რეგულარული re- სერტიფიკაცია და ექსპორტის კონტროლი. ეს ამცირებს ბოროტად გამოყენების ალბათობას და აჩქარებს აუდიტის/მარეგულირებელი შემოწმებების გავლას.