최소 필요한 권리의 원리
1) 목적과 정의
목적: 특정 작업 수행, 최소 충분한 기간 및 최소 볼륨 동안 엄격하게 필요한 리소스에만 사용자/서비스를 허용합니다.
정의: "위도 (자원), 깊이 (작업), 시간 (TTL), 컨텍스트 (지리/장치/시프트), 감도 (PII/금융)".
2) 구현의 기본 원칙
1. 알아야 할 필요: 각 권리는 특정 목적 (기초) 과 관련이 있습니다.
2. 타임 바운드: TTL (JIT) 에 부여 된 높은 권한; 영구 권리-읽기/마스크 만.
3. 범위: 임대/지역/브랜드/프로젝트 (테넌트/지역 범위) 에 따라 액세스가 제한됩니다.
4. 데이터 최소화: PII는 기본적으로 가려집니다. 마스크 제거-명시 적 접지에서만.
5. 추적 성: 모든 액세스 → '목적 '/' 티켓 _ id' 로그.
6. 복구 가능성: 빠른 피드백 (오프 보딩 10 분, JIT-자동 피드백).
3) 다른 컨트롤과의 커뮤니케이션
RBAC: 원칙적으로 할 수있는 사람을 설정합니다 (기본 역할).
ABAC: 어떤 조건 (지리, 장치/MDM, 시간, KYC 수준, 위험) 으로 지정합니다.
SoD: 위험한 역할 조합을 금지하고 민감한 행동을 위해 4 눈이 필요합니다.
세분화: 네트워크/논리 경계 (결제, KYC, DWH, 비밀).
PAM/JIT/브레이크 글래스: 임시 권한과 기록의 안전한 발행.
4) 자원 및 운영 분류
작업: 'READ', 'MASKED _ READ' (PII의 기본값), 'WRITE' (범위), 'APPROVE _' (4 눈), 'EXPORT' (상점 만, 서명/저널).
5) 액세스 권한 공학 작업
1. 사용자 스토리 → 목적: "분석가는 PII없이 EU 변환 보고서를 작성해야합니다".
2. 리소스 목록: 쇼케이스 'agg _ conversions _ eu'.
3. 작업: 'READ' (PII 없음), 'EXPORT _ RAW' 금지.
4. ABAC 컨텍스트: 영업 시간, corp VPN/MDM, region = EU.
5. TTL: 일정한 마스크 판독; 일회성 마스킹 해제를위한 JIT (필요한 경우).
6. 로그: '목적' 및 'fields _ scope' 가있는 'READ '/' EXPORT'.
6) 마스킹 및 선택적 마스킹 해제
기본적으로 마스킹 전자 메일/전화/IBAN/PAN;
마스크되지 않은 액세스 ('pii _ unmask') - JIT + '목적' + 도메인 소유자/준수 확인;
보고서에서 집계/k- 익명 성, "작은 샘플" 금지 (개인 정보 기준 액).
7) 임시 권한: JIT 및 브레이크 글래스
JIT: 15-120 분, 티켓, 자동, 전체 감사.
브레이크 글래스: 비상 액세스 (MFA + 두 번째 확인, 세션 기록, 보안 + DPO 검토 후).
PAM: 비밀 안전, 세션 프록시, 특권 교체.
8) 공정 (SOP)
8. 1 액세스 보조금 (IDM/ITSM)
1. '목적', 리소스, TTL/지속성으로 주장하십시오.
2. SoD/관할권/데이터 클래스/컨텍스트 자동 검증.
3. 도메인 소유자 승인; 제한 + - 보안/규정 준수.
4. 최소 범위를 발행합니다 (종종 마스크 읽기).
5. 권리 등록: 개정 날짜, SLA 리콜.
8. 2 재 인증 (분기 별)
도메인 소유자는 각 역할/그룹을 확인합니다. 미사용 권한 (> 30/60 일) -자동.
8. 3 데이터 내보내기
승인 된 상점을 통해서만; 형식 화이트리스트; 서명/해시; 로그 PII 다운로드 - 기본적으로 개인화되지 않습니다.
9) 공급 업체/서브 프로세서 제어
최소 API 스코프, 통합 당 개별 키, 허용 목록 IP, 시간 창.
DPA/SLA: 역할, 액세스 로그, 보존, 지리, 사고, 서브 프로세서.
오프 보딩: 주요 리콜, 삭제 확인, 마감 행위.
10) 감사 및 모니터링
'ROLE _ ASSIN/REVOKE', 'JIT _ GRANT', 'READ _ PII', 'EXPORT _ DATA', 'PAYMENT _ APPROVE', 'BREAK _ GLASS'.
SIEM/SOAR: '목적', 비정상 볼륨, 타임 아웃/지리, SoD 위반없이 액세스 경고.
WORM: 수정되지 않은 로그 + 해시 체인/서명 사본.
11) 성숙도 지표 (KPI/KRI)
적용 범위: RBAC/ABAC 중요 시스템의%
가면 판독 비율: PII 호출의 95% 이상이 가려져 있습니다.
JIT 속도: 고도의 80% 이상이 JIT입니다.
오프 보드 TTR: 권리 철회
수출 서명: 수출의 100% 가 서명 및 기록됩니다.
SoD 위반: = 0; 시도-자동 차단/티켓.
휴면 액세스 정리: 교수형 권한의 98% 이상이 24 시간 이내에 삭제됩니다.
12) 전형적인 시나리오
A) VIP 클라이언트를위한 일회성 KYC보기
기본: VIP 관리자에서 가면을 읽습니다.
동작: 티켓에서 30 분 동안 JIT 액세스 'pii _ unmask', 현장 녹화/화면 로그, 검토 후.
B) 엔지니어는 prod-DB에 액세스해야합니다
PAM + JIT 소 60 분 후에 만 세션을 기록하고 PII의 'SELECT', 사후 검토 및 CAPA의 위반을 금지합니다.
C) 국가 별 BI 보고서
PII없이 장치에 대한 액세스; ABAC 필터: '[EEA] 의 영역', corp VPN/MDM, 시간 08: 00-21: 00.
13) 반 패턴 및이를 피하는 방법
경계가없는 "슈퍼 역할 "/상속 → 도메인 역할로 나뉘어 ABAC를 포함합니다.
"경우에 따라" 영구 권한 → JIT + 자동.
prod 데이터를 dev/stage → aliasing/synthetics로 복사합니다.
상점 외 PII 수출 → 화이트 리스팅, 서명, 저널, 마스킹.
'목적' 이없는 → 하드 블록 및 자동 티켓.
14) RACI (확대)
15) 점검표
15. 접근을 허용하기 전에 1
- 지정된 '목적' 및 TTL
- SoD/Jurisdictions 확인
- 기본 마스킹, 최소 범위
- ABAC 조건 네트워크/장치/시간/지역
- 로깅 및 개정 날짜 설정
15. 2 분기 별
- 역할/그룹의 개정, 자동 "매달린" 권리
- 비정상적인 수출 및 브레이크 글래스 확인
- 개인 정보 보호/보안 교육 확인
16) 구현 로드맵
1-2 주: 기본 마스킹을 가능하게하는 데이터/시스템 인벤토리, 분류, 기본 역할 행렬.
3-4 주: ABAC (Wednesday/geo/MDM/time), JIT 및 PAM, 수출 화이트리스트, '목적' 로그
2 월: 오프 보드 자동화, SOAR 경고 ('목적 '/이상 없음), 분기 별 재 인증.
3 개월 이상: 속성 확장 (CUS 수준/장치 위험), 개인 정보 보호 임계 값, 정기적 인 탁상용 연습.
TL; DR
최소 특권 = 최소 범위 + PII 마스킹 + ABAC 컨텍스트 + JIT/PAM + 하드 감사 및 빠른 리콜. 액세스를 관리 할 수있게하고 누출/사기의 위험을 줄이며 감사 속도를 높입니다.