Сегментатсияи имтиёз

1) Чаро сегментатсия лозим аст

Сегментатсияи имтиёзҳо калиди коҳиш додани хатогиҳои "радиуси таркиш" ва сӯиистифодаи инсайдерон мебошад. Он ба шумо имкон медиҳад, ки ба таври дақиқ маҳдуд кунед, ки кӣ кадом амалҳоро дар кадом маълумот ва дар куҷо иҷро карда метавонад, ҳангоми нигоҳ доштани суръати амалиёт ва риояи талаботи танзим.

• ҳодисаҳои камтар аз сабаби "ҳуқуқҳои зиёдатӣ";
• суръатбахшии тафтишот: дастрасӣ шаффоф ва возеҳ аст;
• риояи So-D/мутобиқат, аудити исботшаванда;
• таҷрибаҳои бехатар ва релизҳои зуд бидуни хатар ба ядрои истеҳсолӣ.

2) Принсипҳо

Боварӣ ба сифр: ҳар як амал контекстӣ тафтиш карда мешавад; не "минтақаҳои боэътимод".
Имтиёзи камтарин: ҳуқуқҳои ҳадди аққал, ки ба мӯҳлати ҳадди аққал дода шудаанд (идеалӣ JIT).
Контекст аз болои нақш: ҳуқуқҳо на танҳо аз нақш, балки аз хусусиятҳо низ вобастаанд (иҷорагир, минтақа, муҳити зист, хатар).
Сегрегатсияи вазифаҳо (So-D): ташаббуси алоҳида, тасдиқ, иҷро ва аудит.
Policy-as-Code: сиёсатҳо дар рамз бо версия, санҷишҳо ва баррасиҳо.

3) Модели камолоти дастрасӣ

1. RBAC (нақшҳо) - оғоз - нақшҳои собит (дастгирӣ, хатар, пардохт, савдо, опс, SRE, мувофиқат).
2. ABAC (сифатҳо): илова кардани сифатҳо: иҷорагир, минтақа, юрисдиксия, маҳсулот, канал, муҳит (prod/stage/dev), вақт, синфи хавфи фаъолият, сигналҳои KRI.
3. PBAC (ба сиёсат асосёфта): сиёсати мутамаркази "кӣ/чӣ/дар куҷо/кай/чаро" + шартҳо (масалан, "дар фурӯш - танҳо аз ҷониби JIT ва бо чипта").

4) Доменҳои сегментатсия (меҳвар аз меҳвар)

4. 1 Иҷорагир/Мизоҷ

Дастрасӣ ва амалиёт бо бренди мушаххас/оператор/филиал маҳдуд аст.
Фаъолиятҳои байнисоҳавӣ ба истиснои агрегатҳои қатъии муайяннашудаи PII манъ аст.

4. 2 Минтақа/Салоҳияти

Сиёсатҳо литсензиядиҳии маҳаллӣ ва қоидаҳои KYC/AML-ро ба назар мегиранд.
Амалиёти маълумотҳои бозингар бо ҷуғрофияи нигоҳдорӣ ва коркард маҳдуд аст.

4. 3 Муҳит (dev/stage/prod)

Прод ҷудо карда шудааст: қарзҳои инфиродӣ, шабакаҳо, Bastion/PAM, "танҳо бо нобаёнӣ хондан".
Дастрасӣ ба танҳо JIT, бо чипта ва иваз кардани тирезаҳо.

4. 4 Синфи маълумот

PII/finance/gaming telemetry/технологҳо - сатҳҳои гуногуни дастрасӣ ва ниқоб.
Содироти PII - танҳо тавассути ҷараёнҳои рамзишудаи тасдиқшуда ва TTL.

4. 5 Танқиди амалиёт

Синфҳои P1/P2/P3: нашри коэффисиентҳо, ҷуброни дастӣ, хулосаҳо, тағирёбии масири PSP - назорати дугонаро талаб мекунанд.
Амалиётҳои дорои хавфи кам метавонанд аз ҷониби сиёсат ба таври худкор бардошта шаванд.

5) Сатҳи имтиёзҳо (сатҳҳо)

Тамошобин: танҳо маҷмӯаҳои хондан ва маълумоти ниқоб.
Оператор - Тартиби дафтарчаи кориро бидуни тағир додани конфигуратсия иҷро кунед.
Танзимотҳоро дар доменҳои ғайри интиқодӣ тағйир медиҳад.

Тасдиқ: тасдиқи аризаҳо ва амалиётҳои дорои хавфи баланд (дар якҷоягӣ бо иҷро - So

Админ (JIT): пешбурди кӯтоҳмуддат барои вазифаҳои нодир таҳти назорати дугона ва сабти сессия.

6) Нақшҳои хеле мувофиқ ва номувофиқ

• Хулосаҳоро оғоз кунед ≠ ба итмом расонед ≠ тасдиқ кунед.
• Маъракаи бонусиро эҷод кунед ≠ дар фурӯш фаъол шавед ≠ маҳдудиятҳои тағирёбанда.
• Хусусиятро таҳия кунед ≠ озодкуниро истифода баред ≠ ба прод.
• Боркунии PII-ро дархост кунед ≠ рамзкушоиро тасдиқ ≠.

Барои ҳар як ҷуфт - сиёсати расмии мамнӯъ ва истисно бо санаи таҷдиди назар.

7) дастрасии JIT ва PAM

Баландӣ аз рӯи дархост: ҳадаф/чипта/мӯҳлатро муайян кунед; пас аз ба охир расидани мӯҳлат - худкор ба хотир оред.
Назорати дугона: P1/P2 амалҳо - ду барнома аз вазифаҳои гуногун.
Назорати сессия: сабти ҷаласаҳои интиқодӣ, огоҳиҳои аномалӣ, нусхабардории манъкунӣ ҳангоми кор бо PII.
Шиша: дастрасии фавқулодда бо маҳдудиятҳои сахт ва пас аз аудити ҳатмӣ.

8) Ҳисобҳои хидматӣ ва миқёси API

Ҳаҷми ҳадди аққал; Тақсимоти вазифа/microservice нишонаҳо/шаҳодатномаҳои кӯтоҳмуддат.
Гардиши асрҳо, манъи сирри муштарак; манъи "худо-миқёс".
Маҳдудиятҳои меъёри/квотаҳо, калидҳои idempotency, имзои webhook (HMAC).

9) Тақсимоти сатҳи инфрасохтор

Шабакаҳо: ҷудокунии сегмент (ба ҳар як домен/ба ҳар як иҷорагир), монеаи пешфарз, m

Kubernetes/Cloud: фазои номҳо/лоиҳаҳо дар як муҳит ва домен, Gatekeeper/OPA барои манъ кардани намунаҳои хатарнок.
DB/Caches: брокери дастрасӣ (DB proxy/IAM), танҳо бо нобаёнӣ хондан, DDL дар фурӯши берун аз тиреза монеъ мешавад.
Репозиторияҳо: калидҳои гуногун/сатилҳо дар як синф бо сиёсати TTL ва WORM барои аудит.

10) Сиёсатҳо ҳамчун Кодекс (PAC)

Сиёсатҳо дар анборҳо (Rego/YAML), баррасии PR, санҷишҳои худкор (воҳиди/e2e), аудити дифф.
Контексти динамикӣ: вақти рӯз, макон, сатҳи KRI, баҳодиҳии хатари амалиёт.
Фаҳмондани иҷозат/рад кардани қарор ва истинод ба сиёсат дар аудит.

11) Гузоришҳо ва аудит

Пуррагӣ: кӣ/чӣ/дар куҷо/вақте/чаро, арзишҳои пешакӣ/почта, шаҳодатномаи чипта.
Тағирнопазир: коллексияи мутамарказ, WORM/тағйирнопазир, имзои сабт.
Пайвастшавӣ: як қатор консолҳои административӣ → API → пойгоҳи додаҳо → провайдерҳои беруна.
Аудити SLA: сатҳи посух ба дархостҳои назорат/танзимкунанда.

12) Панели панелҳо ва ченакҳо (KPI/KRI)

Дастрасӣ ба KPI: ҳиссаи JIT vs ҳуқуқҳои доимӣ, давомнокии миёнаи имтиёз,% бо So

KRI сӯиистифода: таркишҳои амалиётҳои ҳассос, борфарории оммавӣ, маконҳои ғайримуқаррарӣ/соат, пайдарпайии "zayavka → deystviye → otkat".
Панели Exec: ҳолати пайгирии нақшҳои дорои хавфи баланд, рӯйдодҳои шишагӣ, тамоюлҳо.

13) Намунаҳои сиёсат (эскизҳо)

Прод-операции: 'иҷозат диҳед, агар нақш дар {Operator, Admin} AND env = prod AND jit = чиптаи ҳақиқӣ ва чипта! = нул ВА sod_ok ВА вақт дар Change

Экспорт PII: 'иҷозат диҳед, ки агар data_class=PII ва мақсад дар мақсадҳои тасдиқшуда ва ttl <= 7d ВА рамзгузорӣ = ON AND тасдиқ> = 2' бошад.
PSP-routing: 'иҷозат диҳед, агар амал = Навсозии масир ва dual_control ВА risk_assessment_passed ВА rollback_plan_attached'.

14) Харитаи роҳсозӣ (8-12 ҳафта)

Нед. 1-2: Амалиёт/Нақш/Инвентаризатсияи маълумот, Матритсаи So

Нед. 3-4: асоси RBAC, каталоги нақшҳо, JIT барои консолҳои истеҳсолӣ, оғози PAC (OPA/Gatekeeper).
Нед. 5-6: ABAC: атрибутҳои иҷорагир/минтақа/муҳити зист/маълумот; ҷудо кардани фазои номҳо/лоиҳаҳо.
Нед. 7-8: PAM (баландии JIT, сабти сессия, шикастани шиша), манъи DDL ва брокери пойгоҳи додаҳо, сиёсати содироти PII.
Нед. 9-10: PBAC барои амалиётҳои дорои хавфи баланд (хулоса, мукофотпулӣ, PSP), назорати дугона, огоҳиҳои KRI.
Нед. 11-12: Санҷиши семоҳа, 100% фарогирии хавфи баланд аз амалиётҳои PAC, ҳисоботдиҳӣ ва омӯзиш.

15) Артефактҳо

Каталоги нақш: нақшҳо, имтиёзҳои ҳадди аққал, соҳибон.

Матритсаи So

Бастаи сиёсат: маҷмӯи сиёсати PAC бо санҷишҳо ва намунаҳо инкор/иҷозат медиҳанд.
Шакли дархости дастрасӣ: ҳадаф, истилоҳ, объект (иҷорагир/минтақа/муҳити зист), арзёбии хатар, барномаҳо.
Ops ҳассос Феҳрист: рӯйхати амалҳои P1/P2, тирезаҳо, меъёрҳои назорати дугона.
Китоби бозикунии аудит: ҷамъоварӣ ва пешниҳоди гузоришҳо, посухи SLA, нақшҳо.

16) Антипаттернҳо

Ҳуқуқҳои маъмурии доимӣ ва ҳисобҳои умумӣ.
Дастрасии байнисоҳавӣ "барои роҳат".
Не изолятсияи prod/stage/dev.
Сиёсатҳо дар рӯи коғаз бидуни иҷрои кодекс/консолҳо.
Содироти PII бо тартиби дастӣ бидуни рамзгузорӣ ва TTL.
Набудани тасдиқкунӣ ва ҳуқуқҳои овезон.

17) Сатри поён

Сегментатсияи имтиёз на танҳо "нақшҳои дуруст" аст. "Ин ҷудокунии бисёрҷанба (иҷорагир, минтақа, муҳити зист, маълумот, танқид) + контексти динамикӣ (ABAC/PBAC) + равандҳо (So Ин давр хатари хатогӣ ва сӯиистифодаро ба таври назаррас коҳиш медиҳад, тағироти бехатарро суръат мебахшад ва платформаро ба миқёс ва талаботҳои танзимкунанда тобовар мекунад.