Матрица «роль — право» для одной критичной системы
Соберите матрицу «роль — право» для одной критичной системы: какие роли есть и что каждая может читать, менять, выгружать и администрировать. Заявка потом ссылается на имя роли, а не на «полный доступ». Саму заявку не копируем: заявка на доступ. Кто согласует выдачу в компании — другой документ: матрица ответственности. Права именно в CRM с персональными данными — CRM и ПДн.
Статья опирается на логику направления «Управление доступом» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 6 требует выдавать и отзывать права по учётке и роли: cisecurity.org/controls. Это не российский закон и не продукт Identity Management.
Какую систему взять первой
Не «все приложения компании». Возьмите систему с высокой оценкой конфиденциальности или целостности: критичность по CIA. Если спорите — ту, из которой уже выгружали базу или где у половины отдела стоит администратор.
| Роль | Читать | Создавать / менять | Удалять | Выгружать | Админ системы |
|---|---|---|---|---|---|
| Оператор | Свои документы | Свои | Нет | Нет | Нет |
| Руководитель смены | Смена | Смена | Нет | Смена, без всей базы | Нет |
| Бухгалтер | Финансовые поля | Нет | Нет | Реестр за период | Нет |
| Аудитор | Всё, только чтение | Нет | Нет | По заявке | Нет |
| Администратор системы | Справочники, не боевые ПДн «из любопытства» | Роли и интеграции | По заявке | Нет как повседневность | Да, отдельная учётка |
Пять ролей достаточно. «Суперпользователь на всякий» в матрицу не ставьте: это дыра с именем. Имя роли в заявке должно совпадать с именем в системе один в один.
Сверить с фактом, не с презентацией
Раз в квартал выгрузите фактические права (экспорт ролей приложения, список групп) и положите рядом с матрицей. Лишняя галочка «выгрузка всей базы» у оператора — находка, не «так удобнее».
Административный вход на саму машину с этой системой — не строка матрицы приложения. Его ведите через jump-хост: jump-хост.
Риск: матрица в Excel, в приложении по-прежнему одна роль «admin» на всех. Тогда заявка врёт. После сверки либо поправьте систему, либо перепишите матрицу под факт и примите исключение с датой.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Роли названы как отделы | Нельзя выдать Иванову. Переименуйте в функции |
| В матрице 40 столбцов | Не будут обновлять. Оставьте шесть действий |
| Совпадает с матрицей ответственности ИБ | Смешали «кто согласует» и «что можно в системе». Разведите файлы |
| Админ приложения сидит под своей почтой | Нет отдельной учётки. Заведите и уберите повседневные права |
Где это в модели зрелости
Материал относится к направлению «Управление доступом» (хаб: доступ, карта: карта зрелости). Заявка без каталога ролей плодит исключения. Матрица ответственности закрывает согласование в компании, не кнопки в учётной системе. IDM как продукт здесь не нужен.
Как проверить
- Для одной системы с высокой критичностью есть таблица ролей и шести действий.
- В заявках за месяц стоят эти имена ролей, не «полный доступ».
- За квартал есть сверка выгрузки прав с таблицей: расхождения закрыты или оформлены.
- Документ не заменяет матрицу «кто согласует» и не дублирует статью про CRM.
- Учётных записей с правом «админ системы» меньше, чем людей в отделе.
Источники
- CIS Control 6: cisecurity.org/controls.
