Zasada minimalnych wymaganych praw
1) Cel i definicja
Cel: umożliwienie użytkownikowi/usłudze wyłącznie tych zasobów, które są ściśle niezbędne do wykonania określonego zadania, przez minimalny wystarczający okres i w minimalnej objętości.
Definicja: „minimalna szerokość geograficzna (zasoby), głębokość (operacje), czas (TTL), kontekst (geo/urządzenie/przesunięcie), wrażliwość (PII/finance)”.
2) Podstawowe zasady wdrażania
1. Need-to-Know: każde prawo jest związane z określonym celem (podstawą).
2. Termin: podwyższone prawa przyznane TTL (JIT); stałe prawa - tylko do odczytu/zamaskowania.
3. Zakres: dostęp jest ograniczony dzierżawą/regionem/marką/projektem (najemca/region scoping).
4. Data-Minimization: PII jest domyślnie maskowany; de-maska - tylko na wyraźnym gruncie.
5. Identyfikowalność: dowolny dostęp → + 'cel '/' ticket _ id' log.
6. Możliwość odwołania: szybka informacja zwrotna (offboarding ≤ 15 minut, JIT - automatyczna informacja zwrotna).
3) Komunikacja z innymi urządzeniami sterującymi
RBAC: określa, kto zasadniczo może (podstawowa rola).
ABAC: określa, w jakich warunkach (geo, urządzenie/MDM, czas, poziom KYC, ryzyko).
SoD: zabrania niebezpiecznych kombinacji ról, wymaga 4-oczu dla wrażliwych działań.
Segmentacja: obwody sieciowe/logiczne (płatność, KYC, DWH, sekrety).
PAM/JIT/break-glass: bezpieczne wydawanie uprawnień tymczasowych i ich rejestrowanie.
4) Klasyfikacja zasobów i operacji
Operacje: 'READ', 'MASKED _ READ' (domyślnie dla PII), 'WRITE' (scoped), 'APPROVE _' (4-oczy),' EXPORT '(tylko przez sklepy, podpis/dziennik).
5) Inżynieria praw dostępu do zadań
1. Historia użytkowników → Cel: „Analityk musi zbudować raport konwersji UE bez PII”.
2. Wykaz zasobów: prezentacja „agg _ converversions _ eu”.
3. Operacje: „ODCZYTAĆ” (bez PII), „EXPORT _ RAW” zakaz.
4. Kontekst ABAC: godziny pracy, corp VPN/MDM, region = UE.
5. TTL: stałe maskowanie; JIT do jednorazowego demaskowania (w razie potrzeby).
6. Dzienniki: 'READ '/' EXPORT' z 'purpose' i 'fields _ scope'.
6) Maskowanie i selektywne demaskowanie
Domyślnie maskując e-mail/telefon/IBAN/PAN;
Odblokowany dostęp ('pii _ unmask') - tylko JIT + 'purpose' + potwierdzenie właściciela domeny/Zgodność;
W raportach - agregaty/k-anonimowość, zakaz „małych próbek” (progi prywatności).
7) Uprawnienia tymczasowe: JIT i break-glass
JIT: 15-120 minut, bilet, auto, pełny audyt.
Break-glass: dostęp awaryjny (MFA + drugie potwierdzenie, nagrywanie sesji, Security + DPO post-review).
PAM: secret safe, session proxy, privilege rotation.
8) Procesy (SOP)
8. 1 Dotacja na dostęp (IDM/ITSM)
1. Wniosek o „cel”, zasoby, TTL/trwałość.
2. SoD/jurysdykcja/klasa danych/autokontrola kontekstowa.
3. zatwierdzenie właściciela domeny; мла Restricted + - Bezpieczeństwo/Zgodność.
4. Wydawanie minimalnego zakresu (często maskowany).
5. Wpis do rejestru praw: data zmiany, wycofanie SLA.
8. 2 Ponowna certyfikacja (kwartalna)
Właściciel domeny potwierdza każdą rolę/grupę; niewykorzystane prawa (> 30/60 dni) - automatyczne.
8. 3 Eksport danych
Tylko za pośrednictwem zatwierdzonych sklepów; whitelist formatu; podpis/hash; Pobierz dziennik PII - zdepersonalizowany domyślnie.
9) Kontrola dostawcy/podwykonawcy
Minimalne zakresy API, pojedyncze klawisze na integrację, list IP, okna czasowe.
DPA/SLA: role, dzienniki dostępu, retencja, geografia, incydenty, sub-procesory.
Offboarding: odzyskanie klucza, potwierdzenie usunięcia, akt zamknięcia.
10) Audyt i monitorowanie
Брнала: „ROLE _ ASSIGN/REVOKE”, „JIT _ GRANT”, „READ _ PII”, „EXPORT _ DATA”, „PAYMENT _ APPROVE”, „BREAK _ GLASS”.
SIEM/SOAR: alerty dostępu bez „celu”, nieprawidłowe woluminy, czas-out/geo, naruszenie SoD.
WORM: niezmodyfikowana kopia dzienników + łańcuch hash/podpis.
11) Wskaźniki zapadalności (KPI/KRI)
Zasięg:% systemów krytycznych dla RBAC/ABAC ≥ 95%.
Maskowany stosunek odczytu: ≥ 95% połączeń do PII jest zamaskowanych.
Wskaźnik JIT: ≥ 80% podwyższeń to JIT.
Offboarding TTR: cofnięcie praw ≤ 15 min.
Eksport Podpisano: 100% eksportu są podpisywane i rejestrowane.
Naruszenia SoD: = 0; próby - auto-blok/bilet.
Uśpione oczyszczanie dostępu: ≥ 98% praw do powieszenia zostaje usunięte w ciągu 24 godzin.
12) Typowe scenariusze
A) Jednorazowy widok KYC dla klienta VIP
Podstawowy: maskowany w menedżerze VIP.
Działanie: Dostęp do JIT 'pii _ unmask' za 30 minut na bilecie, rejestr pola/ekran, post-review.
B) Inżynier potrzebuje dostępu do prod-DB
Tylko po PAM + JIT ≤ 60 min, sesja nagrana, zakaz „SELECT” przez PII, post-review i CAPA za naruszenia.
C) Sprawozdanie BI według krajów
dostęp do jednostek bez PII; Filtr ABAC: „region w [EOG]”, corp VPN/MDM, godzina 08: 00-21: 00.
13) Anty-wzory i jak ich uniknąć
„Super role „/dziedzictwo bez granic → podzielone na role domeny, obejmują ABAC.
Stałe przywileje „just in case” → JIT + auto.
Kopiowanie danych prod do dev/stage → aliasing/synthetics.
Eksport PII na zewnątrz sklepów → whitelisting, podpis, dziennik, maskowanie.
Brak 'celu' → blok twardy i auto-bilet.
14) RACI (rozszerzony)
15) Listy kontrolne
15. 1 Przed udzieleniem dostępu
- Określone „purpose” i TTL
- SoD/jurysdykcje zweryfikowane
- Domyślne maskowanie, minimalny zakres
- ABAC Conditions Network/Device/Time/Region
- Skonfigurowano datę logowania i zmiany
15. 2 Kwartalne
- Przegląd ról/grup, automatyczne prawa „wiszące”
- Sprawdzenie nieprawidłowego eksportu i rozbicia szkła
- Potwierdzone szkolenia dotyczące prywatności/bezpieczeństwa
16) Plan działania w zakresie wdrażania
Tygodnie 1-2: inwentaryzacja danych/systemu, klasyfikacja, podstawowa macierz ról, włączająca domyślne maskowanie.
Tygodnie 3-4: ABAC (środa/geo/MDM/czas), JIT i PAM, whitelist eksportowych, dzienniki „przeznaczenia”
Miesiąc 2: automatyka offboardowa, wpisy SOAR (bez „celu ”/anomalii), kwartalna ponowna certyfikacja.
Miesiąc 3 +: rozszerzenie atrybutów (poziom CUS/ryzyko urządzenia), progi prywatności, regularne ćwiczenia tablopowe.
TL; DR
Minimum Privilege = minimalny zakres + maskowanie PII + kontekst ABAC + JIT/PAM + audyt twardy i szybkie wycofanie. Umożliwia zarządzanie dostępem, zmniejsza ryzyko wycieków/oszustw i przyspiesza audyty.