액세스 정책 및 세분화
1) 목적과 원칙
목표는 감사 가능성이있는 엄격한 "누가, 무엇을, 왜 접근 할 수 있는지" 통제를 통해 누출/사기 및 규제 결과의 위험을 최소화하는 것입니다.
원칙: 최소 권한 (최소 권리), 알아야 할 필요, 제로 트러스트, 의무 분리 (SoD), JIT (Just-in-Time), 추적 성 및 원 클릭 리콜.
2) 데이터 분류 및 보호 수준
3) 액세스 모델: RBAC + ABAC
RBAC (역할): 기본 "역할 → 해상도" 행렬.
ABAC (속성): 컨텍스트 규칙 (플레이어/운영자 관할권, 환경 세그먼트, 세트 감도, 시프트/시간, 장치, KYC 검증 수준, 서비스 작업/목적).
- 마케팅 분석가는 평일 08: 00-21: 00에만 PII 필드가없는 회사 네트워크/MDM 장치에서만 분석에 동의 한 국가에 대해서만 '이벤트 _' 테이블을 읽을 수 있습니다 (마스킹이 활성화 됨).
4) SoD-업무 분리 (사기 방지 및 규정 준수)
5) JIT, 브레이크 글래스 알림 PAM
JIT (Just-in-Time): 특정 작업에 대해 제한된 간격 (15-120 분) 동안 높은 권한이 발행되며 자동으로 취소됩니다.
브레이크 글래스: 별도의 절차 (MFA + 두 번째 확인 + 필수 표시 목적) 를 통한 비상 액세스, 세션의 전체 기록 및 사후 검토.
PAM: 관리자 계정-암호 저장소, 행동 분석, 키/비밀 회전, 기록을 통한 세션 프록시.
6) 세분화: 중간, 네트워크 및 논리
6. 1 환경: 'prod' Prod 데이터는 스테이지/개발에 복사되지 않습니다. 합성 또는 앨리어스 세트를 사용합니다.
6. 2 개의 네트워크 (예제 영역):- Edge/WAF/CNC → App Zone → 데이터 영역 (DWH/DB) → 비밀/KMS.
- 결제 경계 (PSP/카드) 는 공통 prod에서 분리됩니다. CCM/제재-별도의 세그먼트.
- 6. 3 논리적 세분화: 네임 스페이스 (K8), 테넌트 -ID, DB/데이터 디렉토리 스키마, 테넌트/지역 당 개별 암호화 키.
- 6. 4 Geo-segmentation: 위치에 따른 저장/처리 (EC/UK/...); 지역 주변의 길다와 열쇠 라우팅.
7) 공급 업체 및 파트너 액세스
역학: 개별 B2B 테넌트/계정, 최소 API 범위, mSL, 허용 목록 IP, 창 시간.
계약: DPA/SLA (로그, 보존 기간, 지리, 사고, 하위 프로세서).
오프 보딩: 주요 리콜, 삭제 확인, 마감 행위.
모니터링: 비정상적인 양에 대한 경고, 대량 수출 금지.
8) 공정 (SOP)
8. 1 요청/변경 액세스
1. 목적과 용어로 IDM/ITSM에 신청합니다.
2. SoD/관할권/데이터 클래스 자동 검증.
3. 도메인 소유자 승인 + 보안/준수 (제한 + 인 경우).
4. JIT/영구 액세스 문제 (최소 세트).
5. 로깅: 누가/언제/무엇을 발행하는지; 개정 날짜.
8. 2 재 인증
분기 별: 소유자는 그룹의 권리를 확인합니다. 자동으로 사용되지 않는 권리 (> 30/60 일).
8. 3 데이터 내보내기
승인 된 파이프 라인/쇼케이스를 통해서만 흰색 형식 목록 (CS/Parquet/JSON), 기본 마스킹, 서명/해시, 다운로드 로그에 따라.
9) 장치 정책 및 컨텍스트
MDM/EMM-관리 장치에서만 액세스 제한/하이 제한.
상황 신호: 지리, 장치의 위험률, 시간, MFA 상태, IP 평판-ABAC 속성.
브라우저 확장/화면 캡처: 제어 및 로그, 민감한 콘솔 금지.
10) 정책 예 (스 니펫)
10. 1 YAML (의사) -마케팅 분석가를위한 ABAC
yaml policy: read_analytics_no_pii subject: role:marketing_analyst resource: dataset:events_
condition:
consent: analytics == true data_class: not in [Restricted, HighlyRestricted]
network: in [corp_vpn, office_mdm]
time: between 08:00-21:00 workdays effect: allow masking: default logging: audit_access + fields_scope10. 2 SQL 마스킹 (아이디어)
sql
SELECT user_id_hash,
CASE WHEN has_priv('pii_read') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;11) 모니터링, 로그 및 경고
감사 흔적: 'READ _ PII', 'EXPORT _ DATA', 'ROLE _ Updates', 'BREAK _ GLASS', 'PAYMENT _ APPROVE'.
KRI: '목적' = 0없이 액세스; 창 밖에서 매우 제한을 시도합니다. 실패한 SoD 검사의 비율; 비정상적인 배출.
KPI: JIT 요청 비율이 80% 이상입니다. 평균 액세스 시간은 4 시간입니다. 100% 재 인증 범위.
SOAR 플레이 북: 위협에 대한 자동 리콜, 조사 티켓.
12) 준수 (짧은지도)
GDPR/UK GDPR: 최소화, 알아야 할 필요, DSAR 호환성, PII 감사.
AML/KYC: CCM/제재에 대한 액세스-훈련 된 역할, 의사 결정 로그에 대해서만 가능합니다.
PCI DSS (해당되는 경우): 결제 구역 분리, PAN/CSC 스토리지 금지, 별도의 키/호스팅.
ISO/ISMS: 공식화 된 액세스 정책, 연례 감사 및 테스트.
13) PACI
14) 성숙도 지표
중요한 데이터 세트의 ABAC 규칙 범위는 95% 이상입니다.
JIT 세션/모든 고도가 90% 이상입니다.
오프 보딩 취소 시간
SoD (0 rollel\function) 사건.
액세스 로그의 100% 를 사용할 수 있고 확인할 수 있습니다 (서명/해시).
15) 점검표
15. 접근을 허용하기 전에 1
- 목적, 날짜 및 데이터 소유자 정의
- SoD/Jurisdictions 확인
- 최소 범위/마스킹 활성화
- MFA/MDM/네트워크 조건 충족
- 로깅 및 개정 날짜 설정
15. 2 분기 별 검토
- 조직 구조를 갖춘 조정 그룹 및 역할
- 자동 "매달린" 권리
- 비정상적인 수출 및 브레이크 글래스 확인
- 교육 및 테스트 경고
16) 전형적인 시나리오 및 측정
A) 새로운 역할 "VIP 관리자"
티켓을 통한 일회성 KYC 시청을위한 VIP 프로필 (마스크), 수출 금지, JIT 액세스.
B) BI 감사 공급 업체
PII, 임시 VPN + 허용 목록 없음, 로컬 저장 금지, 로그 다운로드 금지.
C) DevOps가 prod-DB에 긴급 액세스
위반 사항에 대한 브레이크 글래스 지정 30 분, 기록 세션, DPO/준수 사후 검토, CAPA.
17) 구현 로드맵
1-2 주: 데이터/시스템 인벤토리, 데이터 클래스, 기본 RBAC 매트릭스, SoD.
3-4 주: ABAC (첫 번째 속성: 환경, 지리, 데이터 클래스), IDM 스트림, JIT/브레이크 글래스, PAM 구현.
2 월: 결제 및 KYC 주변 세분화, 별도의 키/KMS, 수출 저널, SOAR 경고.
3 개월 이상: 분기 별 재 인증, 속성 확장 (장치/위험), 마스킹 자동화, 정기적 인 드릴.
TL; DR
강력한 액세스 모델 = 데이터 분류 → RBAC + ABAC → SoD + JIT/PAM → 하드 세분화 → 로그 및 경고. 이는 누출 및 남용 가능성을 줄이고 감사 속도를 높이며 플랫폼을 GDPR/AML/PCI 및 내부 표준의 경계 내에 유지합니다.