Управление доступом: как выдавать, проверять и отзывать права

Граница материала: Цифровые учётные записи и права в ИТ-системах, а не физические турникеты СКУД. RBAC и Zero Trust раскрываются отдельно. Сквозной пример — сотрудник переходит из поддержки в финансы и меняет набор систем. Каждый раздел заканчивается решением или доказательством, которое можно проверить через показатель: лишние права, время выдачи и отзыва, неактивные аккаунты, нарушения разделения обязанностей и результаты пересмотра.

Инвентаризировать системы и данные: управление доступом

Для контроля «управление доступом» сначала определите защищаемый объект. На операции «инвентаризировать системы и данные» владелец актива оформляет артефакт операции «инвентаризировать системы и данные» для темы «управление доступом»: свидетельство защиты по шагу «инвентаризировать системы и данные» с датой, источником и итогом теста. Проверьте сценарий «сотрудник переходит из поддержки в финансы и меняет набор систем» с обычным пользователем и нарушителем. Риск «при действии «инвентаризировать системы и данные» в теме «управление доступом» возникает отклонение: для «инвентаризировать системы и данные» нет проверки в контуре «управление доступом»» означает, что мера существует только формально.

• Актив: «инвентаризировать системы и данные» в системе «управление доступом».
• Владелец: владелец актива.
• Доказательство: артефакт операции «инвентаризировать системы и данные» для темы «управление доступом»: свидетельство защиты по шагу «инвентаризировать системы и данные» с датой, источником и итогом теста.
• Пробел: при действии «инвентаризировать системы и данные» в теме «управление доступом» возникает отклонение: для «инвентаризировать системы и данные» нет проверки в контуре «управление доступом».

Связать личности с учётными записями: управление доступом

Шаг «связать личности с учётными записями» оценивают по снижению реального риска. В контуре «управление доступом» руководитель безопасности сохраняет артефакт операции «связать личности с учётными записями» для темы «управление доступом»: свидетельство защиты по шагу «связать личности с учётными записями» с датой, источником и итогом теста, границу действия и известные исключения. Сопоставьте угрозу, стоимость меры и показатель «лишние права, время выдачи и отзыва, неактивные аккаунты, нарушения разделения обязанностей и результаты пересмотра». Если остаётся «при действии «связать личности с учётными записями» в теме «управление доступом» возникает отклонение: для «связать личности с учётными записями» нет проверки в контуре «управление доступом»», решение возвращают на уточнение.

• Угроза: «связать личности с учётными записями» в системе «управление доступом».
• Кто решает: руководитель безопасности.
• Оценка меры: артефакт операции «связать личности с учётными записями» для темы «управление доступом»: свидетельство защиты по шагу «связать личности с учётными записями» с датой, источником и итогом теста.
• Остаточный риск: при действии «связать личности с учётными записями» в теме «управление доступом» возникает отклонение: для «связать личности с учётными записями» нет проверки в контуре «управление доступом».

Определить правила аутентификации: управление доступом

Не доверяйте одному сигналу. Для действия «определить правила аутентификации» архитектор защиты собирает артефакт операции «определить правила аутентификации» для темы «управление доступом»: свидетельство защиты по шагу «определить правила аутентификации» с датой, источником и итогом теста минимум из двух независимых источников. На примере «сотрудник переходит из поддержки в финансы и меняет набор систем» проверьте ложноположительный и пропущенный случаи. При риске «при действии «определить правила аутентификации» в теме «управление доступом» возникает отклонение: для «определить правила аутентификации» нет проверки в контуре «управление доступом»» автоматическое решение ограничивают.

• Сигнал: «определить правила аутентификации» в системе «управление доступом».
• Кто проверяет: архитектор защиты.
• Два источника: артефакт операции «определить правила аутентификации» для темы «управление доступом»: свидетельство защиты по шагу «определить правила аутентификации» с датой, источником и итогом теста.
• Ошибка детектора: при действии «определить правила аутентификации» в теме «управление доступом» возникает отклонение: для «определить правила аутентификации» нет проверки в контуре «управление доступом».

Создать каталог прав и ролей: управление доступом

Разделите предупреждение и блокировку. В системе «управление доступом» операция «создать каталог прав и ролей» получает владельца администратор системы, правило реакции и артефакт операции «создать каталог прав и ролей» для темы «управление доступом»: свидетельство защиты по шагу «создать каталог прав и ролей» с датой, источником и итогом теста. Сначала протестируйте наблюдение, затем влияние на работу. Признак остановки: при действии «создать каталог прав и ролей» в теме «управление доступом» возникает отклонение: для «создать каталог прав и ролей» нет проверки в контуре «управление доступом».

• Режим реакции: «создать каталог прав и ролей» в системе «управление доступом».
• Кто включает: администратор системы.
• Запись события: артефакт операции «создать каталог прав и ролей» для темы «управление доступом»: свидетельство защиты по шагу «создать каталог прав и ролей» с датой, источником и итогом теста.
• Влияние на работу: при действии «создать каталог прав и ролей» в теме «управление доступом» возникает отклонение: для «создать каталог прав и ролей» нет проверки в контуре «управление доступом».

Настроить заявку и одобрение: управление доступом

Права на шаге «настроить заявку и одобрение» выдаются под конкретную функцию и срок. Для «управление доступом» владелец данных подтверждает артефакт операции «настроить заявку и одобрение» для темы «управление доступом»: свидетельство защиты по шагу «настроить заявку и одобрение» с датой, источником и итогом теста. Проверьте отзыв после смены роли и аварийный доступ. Ситуация «при действии «настроить заявку и одобрение» в теме «управление доступом» возникает отклонение: для «настроить заявку и одобрение» нет проверки в контуре «управление доступом»» требует немедленного разбора.

• Минимальное право: «настроить заявку и одобрение» в системе «управление доступом».
• Кто одобряет: владелец данных.
• Срок доступа: артефакт операции «настроить заявку и одобрение» для темы «управление доступом»: свидетельство защиты по шагу «настроить заявку и одобрение» с датой, источником и итогом теста.
• Лишняя привилегия: при действии «настроить заявку и одобрение» в теме «управление доступом» возникает отклонение: для «настроить заявку и одобрение» нет проверки в контуре «управление доступом».

Выдать минимальные права: управление доступом

Доказательство безопасности должно пережить смену исполнителя. На этапе «выдать минимальные права» аналитик SOC хранит артефакт операции «выдать минимальные права» для темы «управление доступом»: свидетельство защиты по шагу «выдать минимальные права» с датой, источником и итогом теста в общей системе. Для случая «сотрудник переходит из поддержки в финансы и меняет набор систем» воспроизведите проверку по инструкции. Если возникает «при действии «выдать минимальные права» в теме «управление доступом» возникает отклонение: для «выдать минимальные права» нет проверки в контуре «управление доступом»», процедуру нельзя считать рабочей.

• Процедура: «выдать минимальные права» в системе «управление доступом».
• Кто выполняет: аналитик SOC.
• Повторяемый тест: артефакт операции «выдать минимальные права» для темы «управление доступом»: свидетельство защиты по шагу «выдать минимальные права» с датой, источником и итогом теста.
• Зависимость от человека: при действии «выдать минимальные права» в теме «управление доступом» возникает отклонение: для «выдать минимальные права» нет проверки в контуре «управление доступом».

Вести журнал действий: управление доступом

Изменение защиты проходит управляемый выпуск. Для «вести журнал действий» координатор изменений прикладывает артефакт операции «вести журнал действий» для темы «управление доступом»: свидетельство защиты по шагу «вести журнал действий» с датой, источником и итогом теста, тест, план отката и окно наблюдения. В теме «управление доступом» сравните риск до и после. При условии «при действии «вести журнал действий» в теме «управление доступом» возникает отклонение: для «вести журнал действий» нет проверки в контуре «управление доступом»» выпуск останавливают.

• Изменение: «вести журнал действий» в системе «управление доступом».
• Кто выпускает: координатор изменений.
• Тест и откат: артефакт операции «вести журнал действий» для темы «управление доступом»: свидетельство защиты по шагу «вести журнал действий» с датой, источником и итогом теста.
• Стоп выпуска: при действии «вести журнал действий» в теме «управление доступом» возникает отклонение: для «вести журнал действий» нет проверки в контуре «управление доступом».

Пересматривать доступ регулярно: управление доступом

Инцидентный сценарий проверяется заранее. Во время «пересматривать доступ регулярно» группа реагирования использует артефакт операции «пересматривать доступ регулярно» для темы «управление доступом»: свидетельство защиты по шагу «пересматривать доступ регулярно» с датой, источником и итогом теста и фиксирует время обнаружения, ограничения и восстановления. На примере «сотрудник переходит из поддержки в финансы и меняет набор систем» проведите настольную тренировку. Риск «при действии «пересматривать доступ регулярно» в теме «управление доступом» возникает отклонение: для «пересматривать доступ регулярно» нет проверки в контуре «управление доступом»» становится задачей с датой.

• Сценарий: «пересматривать доступ регулярно» в системе «управление доступом».
• Кто реагирует: группа реагирования.
• Хронология: артефакт операции «пересматривать доступ регулярно» для темы «управление доступом»: свидетельство защиты по шагу «пересматривать доступ регулярно» с датой, источником и итогом теста.
• Неготовая роль: при действии «пересматривать доступ регулярно» в теме «управление доступом» возникает отклонение: для «пересматривать доступ регулярно» нет проверки в контуре «управление доступом».

Отзывать права при изменении роли: управление доступом

Исключение не должно становиться постоянным обходом. Для шага «отзывать права при изменении роли» владелец исключения записывает артефакт операции «отзывать права при изменении роли» для темы «управление доступом»: свидетельство защиты по шагу «отзывать права при изменении роли» с датой, источником и итогом теста, причину, компенсирующую меру и срок закрытия. В «управление доступом» регулярно ищите просроченные исключения. Ошибка: при действии «отзывать права при изменении роли» в теме «управление доступом» возникает отклонение: для «отзывать права при изменении роли» нет проверки в контуре «управление доступом».

• Исключение: «отзывать права при изменении роли» в системе «управление доступом».
• Кто принимает: владелец исключения.
• Компенсация: артефакт операции «отзывать права при изменении роли» для темы «управление доступом»: свидетельство защиты по шагу «отзывать права при изменении роли» с датой, источником и итогом теста.
• Просрочка: при действии «отзывать права при изменении роли» в теме «управление доступом» возникает отклонение: для «отзывать права при изменении роли» нет проверки в контуре «управление доступом».

Контролировать аварийный доступ: управление доступом

После «контролировать аварийный доступ» пересмотрите модель «управление доступом». независимый аудитор сопоставляет артефакт операции «контролировать аварийный доступ» для темы «управление доступом»: свидетельство защиты по шагу «контролировать аварийный доступ» с датой, источником и итогом теста с показателем «лишние права, время выдачи и отзыва, неактивные аккаунты, нарушения разделения обязанностей и результаты пересмотра» и обновляет правила по факту. Отдельно сохраните удачные и неудачные решения. При риске «при действии «контролировать аварийный доступ» в теме «управление доступом» возникает отклонение: для «контролировать аварийный доступ» нет проверки в контуре «управление доступом»» назначьте повторную проверку.

• Урок: «контролировать аварийный доступ» в системе «управление доступом».
• Кто закрепляет: независимый аудитор.
• Новое правило: артефакт операции «контролировать аварийный доступ» для темы «управление доступом»: свидетельство защиты по шагу «контролировать аварийный доступ» с датой, источником и итогом теста.
• Повторная проверка: при действии «контролировать аварийный доступ» в теме «управление доступом» возникает отклонение: для «контролировать аварийный доступ» нет проверки в контуре «управление доступом».

Матрица контроля и владения

Что изучить дальше

• инциденты с ИИ
• маскирование данных
• персональные данные в ИИ
• маскирование данных
• качество данных
• аудит ИИ-систем

Чек-лист запуска