Разделение обязанностей и уровни доступа
1) Цели и принципы
Цели:- исключить одиночный контроль над критичными операциями (деньги/PII/комплаенс),
- снизить риск мошенничества/ошибок,
- обеспечить проверяемость для регуляторов и внутренних аудитов.
Принципы: Zero Trust · Least Privilege · Need-to-Know · SoD (4-eyes) · Traceability · Revocability (быстрый отзыв).
2) Классификация данных и уровни доступа
3) Модель прав: RBAC + ABAC
RBAC: роли по доменам (Support, VIP, Payments, AML, KYC, FRM, BI, DevOps, DPO, Legal).
ABAC: контекстные атрибуты (среда, география, класс данных, устройство/MDM, время, уровень KYC, цель доступа `purpose`, риск устройства).
Пример ABAC-условия: аналитик BI может читать `events_` только без PII, только из корпоративной сети/MDM, в будни 08:00–21:00, при наличии активного тренинга по приватности.
4) SoD — матрица несовместимых функций
5) Уровни и типы доступа
Read-only / Masked Read: по умолчанию для BI/Support.
Scoped Write: изменения в пределах сервиса/регламента (напр., ввод примечаний по кейсу).
Privileged Admin: только через PAM (парольный сейф, сессионный прокси, запись сессии, ротация секретов).
API/Service Accounts: минимальные скопы, отдельные ключи per интеграция, mTLS.
6) JIT и break-glass
JIT (Just-in-Time): временные повышения прав (15–120 мин) под конкретный тикет, автоматический отзыв, обязательный `purpose`.
Break-glass: экстренный доступ с MFA+вторым подтверждением, запись сессии, пост-ревью Security+DPO, автосоздание инцидента при нарушениях.
7) Процессы (SOP)
7.1 Запрос/изменение доступа (IDM/ITSM)
1. Заявка с `purpose`, сроком и владельцем данных.
2. Автопроверка SoD/класса данных/юрисдикции.
3. Одобрение доменного владельца + Security (для Restricted+).
4. Выдача JIT/постоянного доступа (минимальный скоуп).
5. Запись в реестр прав (дата пересмотра, SLA отзыва).
7.2 Ре-сертификация прав
Ежеквартально владельцы подтверждают права групп/пользователей.
Автоотзыв неиспользуемых прав (>30/60 дней).
7.3 Экспорт данных
Только через одобренные витрины/пайплайны; маскирование по умолчанию; белые списки адресатов/форматов; подпись/хэш; журнал выгрузок.
8) Контроль вендоров/партнеров
Отдельные B2B-тенанты, минимальные API-скоупы, allow-list IP, окна времени.
DPA/SLA: логи доступов, сроки хранения, география, инциденты, субпроцессоры.
Оффбординг: отзыв ключей, подтверждение удаления, акт закрытия.
9) Интеграция с безопасностью и комплаенсом
Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR: алерты на аномальные объемы/доступ без `purpose`/выход за окно/гео.
GDPR/AML/PCI: Need-to-Know, DSAR-совместимость, сегрегация платежного периметра, WORM для журналов.
10) Политики примеров (фрагменты)
10.1 Политика VIP-менеджера
Маскированный просмотр профиля, запрет экспортов, JIT на единичный просмотр KYC через тикет.
10.2 Политика для аналитика маркетинга
Только агрегаты без PII; доступ при наличии согласия (CMP флаг), из MDM-устройства, в рабочие часы.
10.3 Псевдо-YAML ABAC
yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope11) RACI
12) Метрики и KRIs/KPIs
Coverage ABAC: ≥ 95% критичных наборов под атрибутными правилами.
JIT-rate: ≥ 80% повышений прав идут как JIT.
Offboarding TTR: отзыв доступа ≤ 15 мин с момента увольнения/деактивации.
Аномальные доступы без `purpose`: = 0 (KRI).
Quarterly recertification: 100% ролей/групп подтверждены.
Export compliance: 100% экспортов подписаны/зажурналены.
13) Чек-листы
13.1 Перед выдачей доступа
- Определен `purpose`, срок, владелец данных
- Проверка SoD/юрисдикций/класса данных пройдена
- Минимальный скоуп + маскирование включены
- MFA/MDM/сетевые условия соблюдены
- Настроены журналы и дата пересмотра
13.2 Ежеквартальная ревизия
- Сверить группы/роли с оргструктурой
- Отозвать неиспользуемые права
- Проверить break-glass и крупные экспорты
- Подтвердить обучение (privacy/security)
14) Типовые сценарии и меры
A) Инженеру нужен временный доступ к prod-БД
JIT 30–60 мин, записанная сессия через PAM, пост-ревью, CAPA при нарушениях.
B) Новый аффилиат просит выгрузку игроков
Только агрегаты/анонимизация; если PII — договор, правовое основание, белый список полей, журнал/подпись, ограниченный срок ссылки.
C) Менеджер VIP хочет видеть KYC-документы
Запрет прямого доступа; запрос через AML/KYC, единичная выдача через JIT, полный лог полей.
15) Дорожная карта внедрения
Недели 1–2: инвентаризация систем/данных, классификация, базовая RBAC-матрица, первичная SoD-таблица.
Недели 3–4: внедрение ABAC (среда/гео/класс/MDM), JIT и break-glass, запуск PAM, журналы экспортов.
Месяц 2: сегментация KYC/платежного периметра, отдельные ключи/KMS, SOAR-алерты на нарушения SoD/ABAC.
Месяц 3+: квартальные ре-сертификации, расширение атрибутов (риск устройства/время), автоматизация маскирования, регулярные tabletop-учения.
TL;DR
Надежная модель доступа = классификация данных → RBAC+ABAC → SoD с 4-eyes → JIT/PAM и жесткий аудит → регулярная ре-сертификация и контроль экспортов. Это снижает вероятность злоупотреблений и ускоряет прохождение аудитов/регуляторных проверок.