Артыкчылыктарды сегменттөө

1) Эмне үчүн сегменттөө керек

Артыкчылыктарды сегменттөө - "blast radius" каталарды жана инсайдердик кыянаттыктарды азайтуунун ачкычы. Ал так чектөөгө мүмкүндүк берет, ким жана кайсы жерде кандай иш-аракеттерди жүзөгө ашыра алат, ошол эле учурда сактоого ылдамдыгы жана талаптарга ылайык жөнгө салуу.

• улам "ашыкча укуктар" аз окуялар;
• иликтөөлөрдү тездетүү: жеткиликтүүлүк ачык-айкын жана түшүнүктүү;
• SoD/комплаенс шайкештиги, далилденген аудит;
• коопсуз эксперименттер жана прод-ядро үчүн коркунуч жок тез релиздер.

2) Принциптер

Zero Trust: ар бир иш-аракет контекстинде текшерилет; "ишенимдүү зоналар" жок.
Least Privilege: минималдуу мөөнөткө берилген минималдуу укуктар (идеалдуу - JIT).
Context over Role: укуктар ролго гана эмес, ошондой эле атрибуттарга да көз каранды (тенант, аймак, айлана-чөйрө, тобокелдик).
Segregation of Duties (SoD): демилгени, жактырууну, аткарууну жана аудитти бөлүшөбүз.
Саясат-as-Code: версиялоо, тестирлөө жана ревю менен коддогу саясат.

3) жетүү жетүү модели

1. RBAC (roles): башталышы - туруктуу ролдор (колдоо, тобокелдик, Payments, Trading, Ops, SRE, Compliance).
2. ABAC (attributes): атрибуттарды кошуу: тенант, аймак, юрисдикция, продукт, канал, айлана-чөйрө (prod/этап/dev), убакыт, тобокелдик-класс иш, KRI сигналдар.
3. PBAC (policy-based): борборлоштурулган саясат "ким/эмне/кайда/качан/эмне үчүн" + шарттары (мисалы, "азык-жылы - гана JIT жана билет менен").

4) Сегментация домендери (октун артында огу)

4. 1 Тенант/кардар

Жеткиликтүүлүк жана операциялар белгилүү бир бренд/оператор/аффилиат менен чектелет.
PIIсиз катуу аныкталган агрегациялардан башка, кросс-тенанттык аракеттерге тыюу салынат.

4. 2 Аймак/юрисдикция

Саясатчылар жергиликтүү лицензия жана KYC/AML эрежелерин эске алат.
Оюнчу маалыматтары менен операциялар сактоо жана иштетүү географиясы менен чектелет.

4. 3 чөйрө (dev/stage/prod)

Prod обочолонгон: өзүнчө кред, тармактар, Bastion/PAM, "read-only демейки".
Кирүү гана JIT, тикет жана өзгөртүү терезелери менен.

4. 4 Маалымат классы

PII/каржы/оюн телеметрия/техлогдор - жетүү жана жашыруу ар кандай деңгээл.
PII экспорт - гана бекитилген workflow шифрлөө жана TTL аркылуу.

4. 5 Операциялардын критикалуулугу

P1/P2/P3 класстары: коэффициенттерди жарыялоо, кол менен эсептөөлөр, корутундулар, PSP-роутингди өзгөртүү - кош контролду талап кылат.
Төмөнкү тобокелдик операциялары саясат тарабынан автоматтык түрдө ишке ашырылышы мүмкүн.

5) Артыкчылыктардын деңгээли (tiers)

Viewer: гана агрегаттарды жана жашыруун маалыматтарды окуу.
Оператор: конфигурацияларды өзгөртпөстөн ранбуктар боюнча процедураларды аткаруу.
Contributor: критикалык эмес домендердин конфигурацияларын өзгөртүү.
Approver: өтүнмөлөрдү бекитүү жана жогорку тобокелдик операциялары (аткаруу менен айкалышпайт - SoD).
Admin (JIT): Dual control жана сессия жазуу үчүн сейрек кездешүүчү маселелер үчүн кыска мөөнөттүү жогорулатуу.

6) SoD жана туура эмес ролдору

• Корутундуларды демилгелөө ≠ жактыруу ≠ акыркы өткөрүү.
• Бонустук кампанияны түзүү ≠ өнүмдөрдү активдештирүү ≠ лимиттерди өзгөртүү.
• Fichu иштеп чыгуу ≠ бошотуу appruvat ≠ өндүрүлгөн.
• PII түшүрүүнү талап кылуу ≠ бекитүү ≠ чечмелөө.

Ар бир жубайлар үчүн - кайра кароо датасы менен тыюу салуу жана четтетүү боюнча формалдуу саясат.

7) JIT-жетүү жана PAM

Элевация суроо-талап боюнча: максаты/билети/мөөнөтү көрсөтүлөт; кийин - auto-сын.
Dual control: P1/P2 иш-аракеттер - ар кандай милдеттерди эки appruver.
Session control: критикалык сессияларды жазуу, аномалиялардын алерттери, PII менен иштөөдө копипастка тыюу салуу.
Break-glass: катуу чектер жана милдеттүү пост-аудит менен өзгөчө мүмкүнчүлүк.

8) Тейлөө эсептери жана API-сатып алуулар

Минималдуу сатып алуулар; милдеттер/микросервистер боюнча бөлүштүрүү; Кыска токендер/сертификаттар.
Сырларды айлантуу, жашыруун сырларга тыюу салуу; тыюу салуу "god-scope".
rate/quotas боюнча лимиттер, idempotency-ачкычтар, Webhook кол (HMAC).

9) Инфраструктура деңгээлинде сегменттөө

Тармактар: сегменттерди изоляциялоо (per-domain/per-tenant), демейки egress тыюу, mTLS.
Kubernetes/Cloud: неймспейс/per-чөйрө жана домен долбоорлору, Gatekeeper/OPA коркунучтуу үлгүлөрүн тыюу салуу.
BD/Кэш: кирүү брокери (DB прокси/IAM), демейки боюнча окуу, терезеден тышкары прод DDL тыюу салуу.
Сактоо: аудит үчүн TTL жана WORM саясаттары менен ар кандай ачкычтар/backets биринчи класстагы маалыматтар.

10) Код катары саясат (PaC)

Репозиторийдеги саясат (Rego/YAML), PR-review, авто-тесттер (unit/e2e), дифф-аудит.
Динамикалык контекст: сутканын убактысы, жайгашкан жери, KRI деңгээли, тобокелдик-скоринг операциялары.
allow/deny чечим түшүндүрүп берүү жана аудит саясатына шилтеме.

11) Журналдар жана аудит

Толук: ким/эмне/кайда/качан/эмне үчүн, мурунку/пост-баалуулуктар, ID билети.
Өзгөрбөстүк: борборлоштурулган чогултуу, WORM/immutable, кол жазмалар.
Байланыш: башкаруу консолунун чынжырчасы → API → DD → тышкы провайдерлер.
SLA аудит: контролдоо/жөнгө салуучу суроо-жооп ылдамдыгы.

12) Dashboard жана метрика (KPI/KRI)

KPI Access: JIT үлүшү vs туруктуу укуктар, артыкчылык орточо узактыгы,% жабылган SoD, өтүнмөлөрдү иштетүү убактысы, жабуу кайра.
KRI кыянаттык: жарылуу сезгич иш, массалык чыгаруу, атиптик жайгашкан/саат, ырааттуулугу "өтүнмө → аракет → артка".
Exec-dashboard: жогорку тобокелдик ролдору, break-glass окуялар, тенденциялар.

13) Саясий мисалдар (эскиздер)

Prod-операции: `allow if role in {Operator, Admin} AND env=prod AND jit=true AND ticket!=null AND sod_ok AND time in ChangeWindow`.
Экспорт PII: `allow if data_class=PII AND purpose in ApprovedPurposes AND ttl<=7d AND encryption=ON AND approvers>=2`.
PSP-роутинг: `allow if action=UpdateRouting AND dual_control AND risk_assessment_passed AND rollback_plan_attached`.

14) Жол картасы киргизүү (8-12 жума)

Нед. 1-2: бүтүмдөрдү/ролдорду/маалыматтарды, SoD матрицасын, маалыматтарды классификациялоо жана сегменттөө домендерин инвентаризациялоо.
Нед. 3-4: RBAC базасы, ролдор каталогу, прод-консолдор үчүн JIT, PaC баштоо (OPA/Gatekeeper).
Нед. 5-6: ABAC: тенант атрибуттары/аймак/айлана-чөйрө/маалымат классы; неймспейстерди/долбоорлорду бөлүү.
Нед. 7-8: PAM (JIT-elevation, сессияларды жазуу, break-glass), DDL тыюу салуу жана брокер DD, PII экспорттук саясат.
Нед. 9-10: PBAC жогорку тобокелдик операциялары үчүн (корутундулар, бонустар, PSP), кош көзөмөл, KRI-алерттер.
Нед. 11-12: чейректик кайра сертификациялоо, 100% жогорку тобокелдик PaC операцияларын жабуу, отчеттуулук жана окутуу.

15) Артефакттар

Ролу Catalog: ролдору, минималдуу артыкчылыктары, ээлери.
SoD Matrix: туура келбеген ролдору/иш, өзгөчөлүктөр, override жараяны.
Policy Pack: тесттер жана deny/allow мисалдар менен PaC саясат топтому.
Access Request Form: максаты, мөөнөтү, объект (тенант/аймак/айлана-чөйрө), тобокелдик-баалоо, appruvers.
Sensitive Ops Register: P1/P2 иш-аракеттердин тизмеси, терезелер, эки контролдоо критерийлери.
Audit Playbook: журналдарды, SLA жоопторду, ролдорду чогултуу жана берүү.

16) Антипаттерндер

Туруктуу башкаруу укуктары жана жалпы эсептер.
Cross-Тенант жетүү "жайлуулугу үчүн".
Жок изоляция prod/этап/dev.
Codes/консолдордо enforce жок кагаз саясаты.
Экспорттук PII кол келишими жок шифрлөө жана TTL.
Ресертификациялоонун жоктугу жана "илинген" укуктар.

17) Жыйынтык

Артыкчылыктарды сегменттөө жөн эле "туура ролдор" эмес. Бул көп өлчөмдөгү изоляция (тенант, аймак, айлана-чөйрө, маалыматтар, критикалык) + динамикалык контекст (ABAC/PBAC) + процесстер (SoD, JIT, кайра сертификация) + техникалык мажбурлоо (PaC, PAM, тармактар/BD). Бул контур кескин ката жана кыянаттык коркунучун азайтат, коопсуз өзгөрүүлөрдү тездетет жана масштабдуу жана жөнгө салуу талаптарына туруктуу платформа кылат.