Артықшылықтар сегментациясы

1) Сегменттеу не үшін қажет

Артықшылықтарды сегменттеу - «blast radius» қателерді және инсайдерлік теріс пайдалануларды төмендетудің кілті. Ол кімнің және қайда қандай әрекеттерді қандай деректермен орындай алатынын дәл шектеуге, бұл ретте операциялардың жылдамдығын және реттеушілердің талаптарына сәйкестігін сақтауға мүмкіндік береді.

• «артық құқықтарға» байланысты оқыс оқиғалар аз;
• тергеуді жеделдету: қолжетімділік ашық және түсінікті;
• SoD/комплаенс сәйкестігі, дәлелденетін аудит;
• қауіпсіз эксперименттер және прод-ядро үшін қауіп-қатерсіз жылдам релиздер.

2) Қағидаттар

Zero Trust: әрбір әрекет контекст бойынша тексеріледі; «сенімді аймақтар» жоқ.
Least Privilege: ең аз мерзімге берілген ең аз құқықтар (идеалда - JIT).
Context over Role: құқықтар рөлге ғана емес, атрибуттарға да байланысты (тенант, өңір, қоршаған орта, тәуекел).
Segregation of Duties (SoD): бастамашылықты, мақұлдауды, орындауды және аудитті бөлісеміз.
Policy-as-Code: нұсқалау, тесттер және ревью бар кодтағы саясат.

3) Қолжетімділіктің жетілу моделі

1. RBAC (roles): бастау - тіркелген рөлдер (Support, Risk, Payments, Trading, Ops, SRE, Compliance).
2. ABAC (attributes): атрибуттарды қосамыз: тенант, өңір, юрисдикция, өнім, арна, қоршаған орта (prod/stage/dev), уақыт, тәуекел-класс операциялары, KRI-сигналдар.
3. PBAC (policy-based): орталықтандырылған саясат «кім/не/қайда/қашан/неге» + шарттар (мысалы, «азық-түлікте - тек JIT бойынша және тикетпен»).

4) Сегменттеу домендері (осьтің артындағы ось)

4. 1 Теңге/клиент

Қол жеткізу және операциялар нақты брендпен/оператормен/аффилиатпен шектеледі.
PII-сыз қатаң белгіленген агрегаттардан басқа кросс-тенанттық әрекеттерге тыйым салынады.

4. 2 Өңір/юрисдикция

Саясаткерлер жергілікті лицензиялық және KYC/AML-ережелерін ескереді.
Ойыншының деректерімен жасалатын операциялар сақтау және өңдеу географиясымен шектелген.

4. 3 Қоршаған орта (dev/stage/prod)

Prod оқшауланған: жеке кридтер, желілер, Bastion/PAM, «әдепкі бойынша read-only».
Тек JIT prod бағдарламасына кіру.

4. 4 Деректер сыныбы

PII/қаржы/ойын телеметриясы/техлогтар - қолжетімділік пен жасырудың әртүрлі деңгейлері.
PII экспорты - тек шифрлау және TTL бар бекітілген workflow арқылы.

4. 5 Операциялардың сындарлылығы

P1/P2/P3 сыныптары: коэффициенттерді жариялау, қолмен сынақтар, қорытындылар, PSP-роутингті ауыстыру - dual control талап етеді.
Төменгі тәуекелді операциялар саясатпен автоматтандырылуы мүмкін.

5) Артықшылықтар деңгейі (tiers)

Viewer: тек агрегаттар мен жасырын деректерді оқу.
Оператор: ранбуктар бойынша процедураларды конфигурациясын өзгертпей орындау.
Contributor: күрделі емес домендердегі теңшелімдерді өзгерту.
Approver: өтінімдерді және high-risk операцияларын мақұлдау (орындаумен біріктірілмейді - SoD).
Admin (JIT): сирек кездесетін тапсырмалар үшін қысқа мерзімді көтерілу және сессияны жазу.

6) SoD және үйлеспейтін рөлдер

• Қорытындыларға бастамашылық жасау ≠ мақұлдау ≠ ақырғы түрде жүргізу.
• Бонустық науқан жасау ≠ өнімдегі активтендіру ≠ лимиттерді өзгерту.
• Фичаны әзірлеу ≠ шығарылымды аппрувивтеу ≠ сынамаға шығару.
• PII түсіруді сұрату ≠ мақұлдау ≠ мағынасын ашу.

Әрбір жұп үшін - қайта қарау күні бар тыйым салу және алып тастаудың формальды саясаты.

7) JIT-қолжетімділік және PAM

Сұрау салу бойынша Elevation: мақсаты/тикеті/мерзімі көрсетіледі; аяқталғаннан кейін - авто-кері қайтарып алу.
Dual control: P1/P2 әрекеттер - түрлі функциялардан тұратын екі аппрувер.
Session control: сыни сессияларды жазу, ауытқулардың алерттері, PII-мен жұмыс істегенде копипастқа тыйым салу.
Break-glass: қатаң лимиттермен және міндетті пост-аудитпен авариялық қолжетімділік.

8) Сервистік шоттар және API-сатып алулар

Ең аз сатып алулар; міндеттер/микросервистер бойынша бөлу; қысқа мерзімді токендер/сертификаттар.
Құпияларды ротациялау, shared-құпияларға тыйым салу; «god-scope» дегенге тыйым салу.
rate/quotas, idempotency-кілттерге арналған лимиттер, вебхуктардың қолы (HMAC).

9) Инфрақұрылым деңгейіндегі сегментация

Желілер: сегменттерді оқшаулау (per-domain/per-tenant), әдепкі egress тыйым салу, mTLS.
Kubernetes/Cloud: қауіпті үлгілерге тыйым салу үшін неймспейстер/жобалар per-орта және домен, Gatekeeper/OPA.
ДБ/Кэш: кіру брокері (DB proxy/IAM), әдепкі бойынша read-only, терезеден тыс өнімдегі DDL-ге тыйым салу.
Сақтау орындары: аудит үшін TTL және WORM саясаттарымен әртүрлі кілттер/бакеттер per-класс деректері.

10) Саясат код ретінде (PaC)

Репозиторийлердегі саясат (Rego/YAML), PR-ревю, авто-тестілер (unit/e2e), дифф-аудит.
Динамикалық контекст: тәулік уақыты, орналасуы, KRI деңгейі, тәуекел-скоринг операциялары.
allow/deny шешімінің түсініктілігі және аудиттегі саясатқа сілтеме.

11) Журналдар және аудит

Толымдылық: кім/не/қайда/қашан/неге, алдыңғы/пост-мәндер, ID тикет.
Өзгермейтіндігі: орталықтандырылған жинау, WORM/immutable, жазбалардың қолтаңбасы.
Байланыстылығы: әкімшілік-консоль тізбегі → API → БД → сыртқы провайдерлер.
SLA аудит: бақылау/реттегіш сұрауларына жауап беру жылдамдығы.

12) Дашбордтар және метриктер (KPI/KRI)

Қолжетімділік KPI: тұрақты құқықтардың JIT vs үлесі, артықшылықтың орташа ұзақтығы, SoD жабылған%, өтінімдерді өңдеу уақыты, қайта сертификаттауды жабу.
KRI теріс пайдаланулар: сезімтал операциялардың жарылысы, жаппай түсіру, типтік емес орындар/сағаттар, «өтінім → әрекет → кері қайту» жүйелілігі.
Exec-дашборд: трек мәртебесі жоғары тәуекелді рөлдер, break-glass оқиғалар, трендтер.

13) Саясаткерлердің үлгілері (эскиздері)

Prod-операции: `allow if role in {Operator, Admin} AND env=prod AND jit=true AND ticket!=null AND sod_ok AND time in ChangeWindow`.
Экспорт PII: `allow if data_class=PII AND purpose in ApprovedPurposes AND ttl<=7d AND encryption=ON AND approvers>=2`.
PSP-роутинг: `allow if action=UpdateRouting AND dual_control AND risk_assessment_passed AND rollback_plan_attached`.

14) Енгізудің жол картасы (8-12 апта)

Нед. 1-2: операцияларды/рөлдерді/деректерді түгендеу, SoD матрицасы, деректерді жіктеу және сегменттеу домендері.
Нед. 3-4: RBAC-базис, рөлдер каталогы, прод-консольдер үшін JIT, PaC (OPA/Gatekeeper) бастау.
Нед. 5-6: ABAC: тенант/өңір/қоршаған орта/деректер класы төлсипаттары; неймспейстерді/жобаларды бөлу.
Нед. 7-8: PAM (JIT-elevation, сессияларды жазу, break-glass), DDL тыйым салу және БД брокері, PII экспорт саясаты.
Нед. 9-10: Жоғары тәуекелді операциялар үшін PBAC (қорытындылар, бонустар, PSP), dual control, KRI-алерта.
Нед. 11-12: тоқсандық қайта сертификаттау, 100% high-risk PaC операцияларын жабу, есептілік және оқыту.

15) Артефактілер

Role Catalog: рөлдер, минималды артықшылықтар, иелері.
SoD Matrix: сыйыспайтын рөлдер/операциялар, ерекшеліктер, override процесі.
Policy Pack: тестілер мен deny/allow мысалдары бар PaC-саясаткерлер жиынтығы.
Access Request Form: мақсат, мерзім, нысан (тенант/өңір/қоршаған орта), тәуекел-бағалау, аппруверлер.
Sensitive Ops Register: P1/P2 әрекеттердің тізімі, терезелер, dual control өлшемдері.
Audit Playbook: журналдарды, SLA жауабын, рөлдерін жинау және ұсыну.

16) Антипаттерндер

Тұрақты әкімшілік құқықтар және жалпы есептер.
«Қолайлылық үшін» кросс-тенанттық қолжетімділік.
Оқшаулаудың болмауы prod/stage/dev.
Кодтардағы/консольдардағы enforce жоқ қағаздағы саясат.
PII-ді шифрлаусыз және TTL-сіз экспорттау.
Қайта сертификаттаудың және «байланған» құқықтардың болмауы.

17) Жиынтық

Артықшылықтарды сегменттеу - бұл жай ғана «дұрыс рөлдер» емес. Бұл көп өлшемді оқшаулау (тенант, өңір, қоршаған орта, деректер, сындылық) + динамикалық контекст (ABAC/PBAC) + процестер (SoD, JIT, қайта сертификаттау) + техникалық мәжбүрлеу (PaC, PAM, желілер/БД). Мұндай контур қателіктер мен теріс пайдаланулар тәуекелін күрт төмендетеді, қауіпсіз өзгерістерді жеделдетеді және платформаны ауқым мен реттегіштер талаптарына төзімді етеді.