職責劃分和訪問級別

1）目標和原則

• 消除對關鍵交易（金錢/PII/合規性）的單獨控制，
• 降低欺詐/錯誤風險，
• 確保監管機構和內部審計的可核查性。

原則：零信任·Least Privilege· Need to Know· SoD （4-eyes）· Traceability· Revocability（快速召回）。

2）數據分類和訪問級別

3）權利模型： RBAC+ABAC

RBAC：跨域角色（支持，VIP，付款，AML，KYC，FRM，BI，DevOps，DPO，Legal）。
ABAC：上下文屬性（環境，地理，數據類，設備/MDM，時間，KYC級別，訪問目標「purpose」，設備風險）。

ABAC條件示例：BI分析師只能在工作日上午08：00-21：00 從公司網絡/MDM中讀取沒有PII的「events_」，只要有積極的隱私培訓即可。

4） SoD-不兼容函數的矩陣

5）訪問級別和類型

Read-ly/Masked Read： BI/Support的默認值。
Scoped Write：服務/法規中的更改（例如,鍵入案例註釋）。
特權管理：僅通過PAM（密碼保存，會話代理，會話記錄，秘密輪換）。
API/Service Accounts：最小核對,單個按鍵集成,mTLS。

6) JIT и break-glass

JIT（Just-in-Time）：針對特定股票的臨時權利提升（15-120分鐘），自動召回，強制性「purpose」。
破玻璃：MFA+第二次確認的緊急訪問，會議記錄，Security+DPO後評論，違規事件自動發布。

7）流程（SOP）

7.1請求/更改訪問（IDM/ITSM）

1.使用「purpose」，截止日期和數據所有者的應用程序。
2.SoD/數據類/司法管轄區的自動反駁。
3.域名所有者+Security的批準（對於Restricted+）。
4.發出JIT/永久訪問（最低限度）。
5.進入權利登記冊（審查日期，召回SLA）。

7.2權利再認證

每季度，所有者都會確認組/用戶的權利。
對未使用權利進行自檢（>30/60天）。

7.3數據導出

僅通過批準的店面/管線；默認掩碼；收件人/格式的白名單；簽名/散列；上載日誌。

8）控制供應商/合作夥伴

單獨的B2B tenant，最小API漏洞，allow-list IP，時間窗口。
DPA/SLA：訪問日誌、保留時間、地理、事件、子處理器。
離岸外包：召回鑰匙，確認刪除，關閉行為。

9）與安全和合規性集成

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.

SIEM/SOAR：不帶有「purpose」/超出窗口/地理位置的異常體積/訪問的異常值。
GDPR/AML/PCI：需要了解，DSAR兼容性，支付外圍隔離，用於日誌的WORM。

10）示例策略（片段）

10.1 VIP經理政策

蒙面查看配置文件，禁止導出，JIT通過tiket單次查看KYC。

10.2營銷分析師

只有沒有PII的單位；在工作時間內，從MDM設備獲得同意（CMP標誌）訪問權限。

10.3 Pseudo-YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12）度量標準和KRIs/KPIs

Coverage ABAC：在屬性規則下≥ 95%的關鍵集。
JIT-rate：≥ 80%的權利提升與JIT一樣。
離開TTR：自解雇/停用以來召回訪問≤ 15分鐘。
沒有「purpose」的異常訪問：=0（KRI）。
季刊recertification： 100%的角色/組得到確認。
出口合規性：100%的出口簽名/點燃。

13）支票單

13.1在授予訪問權限之前

• 定義為「purpose」、期限、數據所有者
• SoD/司法管轄區/數據類驗證已通過
• 包括最小scope+蒙面
• MFA/MDM/網絡條件滿足
• 設置日誌和修訂日期

13.2季度審計

• 將組/角色與組織結構核對
• 撤回未使用的權利
• 檢查破玻璃和主要出口
• 確認培訓（隱私/安全）

14）示範情景和措施

A）工程師需要臨時訪問prod-DB

JIT 30-60分鐘，通過PAM，評論後和CAPA記錄的違規會議。

B）新會員要求卸載玩家

僅聚合/匿名；如果PII是合同，法律依據，字段白名單，日誌/簽名，有限的參考期。

C） VIP經理希望看到KYC文檔

禁止直接進入；通過AML/KYC進行查詢，通過JIT進行單位發出，完整的字段日誌。

15）實施路線圖

1-2周：系統/數據清單，分類，基本RBAC矩陣，基本SoD表。
第三至第四周：引入ABAC（星期三/地理/類別/MDM），JIT和斷面玻璃，PAM啟動，出口日誌。
第2個月：CUS/支付周界細分，單個密鑰/KMS，SOAR-Alerta SoD/ABAC違規。
月3+：季度再認證，屬性擴展（設備風險/時間），蒙版自動化，定期平板操作。

TL;DR

可靠的訪問模型=數據分類→ RBAC+ABAC → SoD與4-eyes → JIT/PAM以及嚴格的審計→定期的重新認證和出口控制。這減少了濫用的可能性，並加快了審計/監管檢查的通過。