Kontrola dostępu do danych
1) Dlaczego iGaming
Ryzyko i regulacja: PII/finanse, wymogi transgraniczne, RG/AML.
Prędkość i zaufanie: bezpieczna analiza samoobsługowa i ML bez ręcznych „dystrybucji”.
Audyt i odpowiedzialność: „kto widział co i dlaczego”, provability of the principle of minimum rights.
2) Podstawowe zasady
1. Najmniejszy przywilej - tylko to, czego potrzebujesz i na odpowiedni czas.
2. Segregacja Obowiązków (SoD) - deweloper właściciel danych analityka.
3. Just-in-Time (JIT) - tymczasowe, automatycznie odwołane prawa.
4. Defense in Depth - multi-level protection: network → service → table → column → row → cell.
5. Policy-as-Code - dostęp i maski w kodzie/repozytorium, przegląd za pośrednictwem PR.
6. Wiedza o pochodzeniu - rozwiązania opierają się na katalogu, rodowodzie, klasyfikacji i umowach.
3) Klasyfikacja danych
Klasy: publiczne/wewnętrzne/poufne/zamknięte (PII/Finance).
Znaczniki na wykresach i katalogu: 'pii', 'financial', 'tokenized', 'masking', 'rle' (poziom wiersza), 'cle' (poziom kolumny), 'geo = EU/TR/...', 'lokator'.
- Ograniczone: żetony/maski wszędzie; detokenizacja tylko w „czystej strefie” na życzenie.
- Poufne: dostęp z domyślnymi maskami; usuwanie masek - poprzez uzasadnienie i JIT.
- Wewnętrzne/publiczne: według ról domeny, bez PII.
4) Modele autoryzacji
RBAC (rola-base.) : szybki start, katalogi ról ("Marketing-Analyst", "Risk-Ops').
ABAC (atrybut podstawowy) : kraj, marka, środowisko (prod/etap), projekt, cel przetwarzania, czas, poziom ryzyka.
ReBAC (według relacji): „set owner”, „domain steward”, „reviewer”.
Hybryda: RBAC jako ramy, ABAC dopracowuje granice.
5) Granularność dostępu
Sieć/ingress: mTLS, let-list, linki prywatne.
Usługa/klaster: role IAM, konto serwisowe z minimalnymi uprawnieniami.
Repozytoria: katalogi/schematy/tabele (GRANT), zabezpieczenie poziomu wiersza (RLS), zabezpieczenie poziomu kolumny (CLS).
Maskowanie/tokenizacja: maski dynamiczne w SQL/BI; żetony zamiast PII.
Fichestor/ML: dostęp tylko do agregatów/dozwolonych funkcji; zasady funkcji (zezwalają/zaprzeczają).
Pliki/obiekty: wstępnie podpisane linki z TTL, szyfrowanie i zasady pobierania.
6) Wzory dla domen kluczowych
KYC/AML: CLS (widoczne są tylko żetony), RLS według kraju operatora; detokenizacja - DPO/Legal by JIT.
Płatności: Ograniczone, tokeny FLE +, dostęp do opcji ryzyka/płatności za pośrednictwem JIT; skontrolowane przesyłki.
Wydarzenia w grze: Wewnętrzny/Poufny, RLS według marki/regionu/najemcy, CLS dla user_id.
Odpowiedzialna gra: Dostęp polecenia RG do agregatów; indywidualne przypadki - na żądanie.
BI/ML: prezentacje „złote” bez PII; ML - lista dozwolonych funkcji, dziennik uzasadnienia dla kontrowersyjnych.
7) Procedury dostępu
7. 1 wniosek → zatwierdzenie → przepisy
Formularz rekwizycji: cel, zakres, termin, rola, atrybuty ABAC, ustawienie właściciela.
Automatyczne sprawdzanie: klasa danych, SoD, szkolenie ukończone? konflikt interesów?
RACI: właściciel (R), steward (C), DPO/Sec (A/C), IT/IAM (R).
7. 2 JIT - szkło łamliwe
JIT: 15 min/2 h/1 dzień z automatycznym wycofaniem; odnowienie - na nowej aplikacji.
Złamanie szkła: w przypadku incydentów; indywidualne role/klucze, wzmocniony audyt, wymagany pośmiertnie.
7. 3 Regularne przeglądy
Kwartalna ocena dostępu: Właściciele domeny potwierdzają role/atrybuty.
Automatyczne wyłączanie „zapomnianych” dostępu (brak użycia 30/60 dni).
8) Mechanizmy techniczne
Katalog & Kontrakty: źródło prawdy o właścicielach, klasach, maskach.
Silnik polityki: OPA/odpowiednik dla polityki ABAC/wiersz/kolumna.
Maskowanie danych: maski dynamiczne w DWH/BI; bezpieczny format maski dla telefonów/e-maili.
Tokenizacja: skarbiec/FPE; detokenizacja tylko w „czystej strefie”.
Secrets & PAM: tajny menedżer, sesje JIT, ekrany nagraniowe do dostępu administratora.
Audyt & SIEM: niezmienne dzienniki (WORM), korelacja zdarzeń dostępu z sesjami i przesyłkami.
Izolatory geo/lokatorskie: fizyczne/logiczne rozdzielenie (schematy, katalogi, klastry, klucze szyfrujące).
9) Zgoda & DSAR
Dostęp uwzględnia zgodę gracza (marketing = off → ukryj atrybuty marketingowe).
Przyciski DSAR: znajdź/rozładuj/usuń przez token; dziennik całej operacji; Liczy się Legal Hold.
10) Monitorowanie i SLO
Dostęp SLO: p95 czas wydania dostępu JIT (np. ≤ 30 min).
Zero-PII w dziennikach: 100% zdarzeń bez PII.
Wskaźnik anomalii: wpisy dla SELECT spike lub nietypowe JOIN to Restricted.
Zakres recenzji: ≥ 95% ról jest przeglądanych na czas.
Maska Hit-Rate: Odsetek żądań, w których uruchomiono maskę/token.
Detokenizacja MTTR: średni czas przetwarzania ważnej aplikacji.
11) Szablony
11. 1 Polityka dostępu (snippet)
Zasada: najmniejszy przywilej + SoD + JIT.
Role: katalog ról z opisem zadań/prezentacji.
atrybuty ABAC: „kraj”, „marka”, „na”, „cel”, „zatrzymanie”.
Maski/żetony: domyślnie aktywne na poufne/ograniczone.
Przegląd: kwartalny; auto-recall „zapomniane” dostęp.
Naruszenia: blokowanie, śledztwo, szkolenie.
11. 2 Formularz wniosku
Kto: Pełna nazwa/zespół/menedżer.
Co: Set/Table/Showcase/Feature.
Dlaczego: Cel, Oczekiwany wynik/Metryka
Jak długo: czas trwania/harmonogram.
Klasa danych: (autokompletny z katalogu).
Podpisy: Właściciel/steward, inspektor ochrony danych lub Sec (jeśli zastrzeżone).
11. 3 Katalog ról (przykład)
Marketing-Analyst: Internal/Confidential Marketing Marts; bez detokenizacji; RLS według marki.
Operacje ryzyka: płatności ograniczone za pomocą masek; JIT do detokenizacji; eksport tylko przez szablony „białe”.
RG-Team: jednostki RG, dostęp do spraw na życzenie.
DS/ML: fichestor (funkcja listy zezwoleń), piaskownica bez PII.
12) Plan działania w zakresie wdrażania
0-30 dni (MVP)
1. Klasyfikacja danych i etykiet w schematach.
2. Katalog ról + podstawowe atrybuty ABAC (kraj/marka/na).
3. Domyślne maskowanie/tokenizacja dla Confidential/Restricted.
4. proces JIT i dziennik audytu; break-glass regulacje.
5. RLS/CLS dla płatności, KYC, imprez gier; wyłączenie 'SELECT' dla Limitowanego.
30-90 dni
1. Policy-as-Code w CI (linter żądania, bloki w przypadku naruszeń).
2. integracja za zgodą/DSAR; dostęp do raportów SLO.
3. kwartalny przegląd dostępu; automatyczna dezaktywacja.
4. PAM dla dostępu administratora; Nagrywanie sesji w ramce czasu.
3-6 miesięcy
1. Izolacja geo/lokatora, indywidualne klucze szyfrowania według jurysdykcji.
2. Automatyczne rekomendacje ról oparte na rzeczywistych żądaniach (oparte na użyciu).
3. Analityka behawioralna dostępu (anty-analityka), playbooks SOAR.
4. Certyfikacja procesu i audyt zewnętrzny.
13) Anty-wzory
„Superuser” dla wszystkich - bez SoD i JIT.
Udostępnianie danych za pośrednictwem plików/zrzutów ekranu poza kontrolowanymi kanałami.
RLS/CLS tylko „na papierze” - maski są wyłączone w BI.
brak przeglądu praw i automatycznego odzyskiwania praw; „wieczny” dostęp.
Katalog/umowy nie są aktualizowane - zasady dostępu są nieaktualne.
Detokenizacja w aplikacjach „dla wygody” bez audytu.
14) RACI (przykład)
Polityka/Architektura: CDO/CISO (A), DPO (C), SecOps (R), Data Platform (R).
Emisja dostępu: IAM/IT (R), Właściciele (A/R), Stewards (C), Managers (I).
Audyt/przegląd: właściciele (R), DPO/Sec (A), audyt wewnętrzny (C).
Incydenty: SecOps (R), Legal/PR (C), Domeny (R).
15) Sekcje powiązane
Zarządzanie danymi, tokenizacja danych, bezpieczeństwo danych i szyfrowanie, pochodzenie danych i ścieżka, etyka/DSAR, poufne ML, uczenie się w sposób federalny.
Razem
Kontrola dostępu to system zasad, atrybutów i automatyzacji, który daje zespołom odpowiednie dane w dokładnie odpowiedniej ilości i czasie, pozostawiając pełną identyfikowalność. W iGaming jest to podstawa zaufania do metryk, odporności na incydenty i szybkości podejmowania decyzji.