Podział obowiązków i poziomy dostępu
1) Cele i zasady
Cele:- wyłączenie pojedynczej kontroli operacji krytycznych (pieniądze/PII/zgodność),
- zmniejszyć ryzyko oszustwa/błędu,
- zapewnia weryfikowalność organów regulacyjnych i audytów wewnętrznych.
Zasady: Zero Trust· Least Privilege· Need-to-Know· SoD (4-eyes)· Traceability· Odwołalność (quick recall).
2) Klasyfikacja danych i poziomy dostępu
3) Model praw: RBAC + ABAC
RBAC: role według domeny (Wsparcie, VIP, Płatności, AML, KYC, FRM, BI, DevOp, DPO, Legal).
ABAC: atrybuty kontekstowe (środowisko, geografia, klasa danych, urządzenie/MDM, czas, poziom KYC, cel dostępu, ryzyko urządzenia).
Przykład warunku ABAC: analityk BI może czytać 'wydarzenia _' tylko bez PII, tylko z sieci korporacyjnej/MDM, w dni powszednie 08: 00-21: 00, z aktywnym treningiem prywatności.
4) SoD - matryca funkcji niezgodnych
5) Poziomy i typy dostępu
Tylko do odczytu/Masked Read: domyślnie dla BI/Support.
Scoped Write: zmiany w ramach usługi/procedury (np. wpisanie uwag dotyczących spraw).
Uprzywilejowany Administrator: tylko przez PAM (bezpieczne hasło, serwer proxy sesji, nagrywanie sesji, sekret rotacji).
Konta API/Service: minimalne ospreys, poszczególne klucze na integrację, mTLS.
6) JIT (break-glass)
JIT (Just-in-Time): tymczasowe wzniesienie (15-120 min) na określony bilet, automatyczne wycofanie, obowiązkowe „przeznaczenie”.
Break-glass: dostęp awaryjny z MFA + drugie potwierdzenie, nagrywanie sesji, Security + DPO post-review, automatyczne tworzenie incydentu w przypadku naruszeń.
7) Procesy (SOP)
7. 1 Żądanie/modyfikacja dostępu (IDM/ITSM)
1. Zamówienie z „przeznaczeniem”, datą i właścicielem danych.
2. Samodzielne sprawdzanie klasy SoD/danych/jurysdykcji.
3. Zatwierdzenie właściciela domeny + Bezpieczeństwo (dla Limitowanego +).
4. Emisja JIT/stały dostęp (minimalny zakres).
5. Wpis do rejestru praw (data zmiany, cofnięcie SLA).
7. 2 Ponowna certyfikacja praw
Właściciele kwartałów potwierdzają prawa grupy/użytkownika.
Automatyczne niewykorzystane prawa (> 30/60 dni).
7. 3 Eksport danych
Tylko poprzez zatwierdzone obudowy/rurociągi; domyślne maskowanie białych list miejsc docelowych/formatów; podpis/hash; pobierz dziennik.
8) Kontrola dostawcy/partnera
Indywidualni najemcy B2B, minimalne zakresy API, list IP, okna czasowe.
DPA/SLA: dzienniki dostępu, okresy retencji, geografia, incydenty, procesory cząstkowe.
Offboarding: odzyskanie klucza, potwierdzenie usunięcia, akt zamknięcia.
9) Integracja z bezpieczeństwem i przestrzeganiem przepisów
Ścieżki audytu: „READ _ PII”, „EXPORT _ DATA”, „ROLE _ UPDATE”, „PAYMENT _ APPROVE”, „BREAK _ GLASS”.
SIEM/SOAR: wpisy dotyczące nieprawidłowych woluminów/dostępu bez „celu ”/wyjścia z okna/geo.
GDPR/AML/PCI: Need-to-Know, kompatybilność DSAR, segregacja obwodów płatności, WORM dla czasopism.
10) Przykładowa polityka (fragmenty)
10. 1 Polityka menedżera VIP
Zamaskowany widok profilu, zakaz eksportu, JIT do pojedynczego widoku KYC za pośrednictwem biletu.
10. 2 Polityka dla analityka marketingowego
Tylko jednostki bez PII; dostęp za zgodą (flaga CMP), z urządzenia MDM, w godzinach pracy.
10. 3 Pseudo-YAML ABAC
yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope11) RACI
12) Wskaźniki i KRI/KPI
ABAC pokrycia: ≥ 95% zestawów krytycznych zgodnie z zasadami atrybutów.
Wskaźnik JIT: ≥ 80% podwyższeń to JIT.
Offboarding TTR: cofnięcie dostępu ≤ 15 minut od momentu zwolnienia/dezaktywacji.
Nieprawidłowy dostęp bez „celu”: = 0 (KRI).
Kwartalna recertyfikacja: 100% role/grupy potwierdzone.
Zgodność eksportu: 100% eksportu jest podpisane/zalogowane.
13) Listy kontrolne
13. 1 Przed udzieleniem dostępu
- „cel” zdefiniowany, data, właściciel danych
- Zatwierdzono SoD/Jurysdykcje/Klasa danych
- Minimalny zakres + możliwość maskowania
- Spełnione warunki MFA/MDM/sieci
- Opracowano czasopisma i datę rewizji
13. 2 Audyt kwartalny
- Sprawdzenie grup/ról przeciwko strukturze organizacyjnej
- Cofnij niewykorzystane prawa
- Sprawdzenie rozbicia szkła i poważnego wywozu
- Potwierdzenie szkolenia (prywatność/bezpieczeństwo)
14) Typowe scenariusze i środki
A) Inżynier potrzebuje tymczasowego dostępu do prod-DB
JIT 30-60 min, sesja nagrana za pośrednictwem PAM, post-review, CAPA za naruszenia.
B) Nowy partner prosi graczy o rozładunek
Tylko kruszywa/anonimizacja; jeśli PII - umowa, podstawa prawna, biała lista pól, dziennik/podpis, ograniczony czas obowiązywania.
C) Kierownik VIP chce zobaczyć dokumenty KYC
zakaz bezpośredniego dostępu; żądanie za pośrednictwem AML/KYC, pojedynczy numer za pośrednictwem JIT, pełny dziennik pól.
15) Plan działania w zakresie wdrażania
Tygodnie 1-2: System/Spis danych, Klasyfikacja, Podstawowa Matryca RBAC, Podstawowa tabela SoD.
Tygodnie 3-4: ABAC (środowisko/geo/klasa/MDM) implementacja, JIT i break-glass, uruchomienie PAM, dzienniki eksportowe.
Miesiąc 2: CMC/segmentacja obwodu płatności, klucze indywidualne/KMS, wpisy SOAR dla naruszeń SoD/ABAC.
Miesiąc 3 +: kwartalna ponowna certyfikacja, rozszerzenie atrybutu (ryzyko/czas urządzenia), automatyzacja maskowania, regularne ćwiczenia na tablopie.
TL; DR
Niezawodny model dostępu = klasyfikacja danych → RBAC + ABAC → SoD z 4-oczami → JIT/PAM i audyt twardy → regularna ponowna certyfikacja i kontrola eksportu. Zmniejsza to prawdopodobieństwo nadużyć i przyspiesza przeprowadzanie audytów/kontroli regulacyjnych.