Главная мысль
Определите владельца и цель каждого доступа. Выдавайте разрешения по утверждённой роли, регулярно пересматривайте их и своевременно отзывайте при исчезновении необходимости.
Определите жизненный цикл идентификации
Определите, как создаются учётные записи сотрудников, подрядчиков, служб и экстренного доступа, кто их утверждает и где хранится основной источник данных. При приёме выдавайте доступ только по утверждённой роли; при смене отдела или должности пересматривайте прежние права. При завершении работы или договора назначьте владельца и срок для отключения учётной записи, отзыва токенов и смены ключей. Автоматизация жизненного цикла не заменяет контроль владельца и исключений. После отключения и отзыва токенов проверяйте фактическое прекращение доступа в каждом подключённом приложении; если немедленный отзыв не поддерживается, фиксируйте срок оставшейся сессии.
Усильте вход и ограничьте полномочия
Требуйте MFA для почты, удалённого доступа, административных панелей и систем с чувствительными данными. Для администраторов и критичных систем отдавайте предпочтение устойчивому к фишингу методу и не считайте слабую MFA полной защитой. Выдавайте доступ по должности через RBAC или подходящие атрибутные правила; избегайте широких групп и общих пользовательских учётных записей. Ограничивайте разрешения между службами так же, как права людей, и управляйте сохранёнными секретами.
Пересматривайте доступ и сохраняйте аудит
Для каждой чувствительной системы укажите владельца бизнеса, класс данных, утверждающего и период пересмотра доступа. Проводите регулярную проверку неиспользуемых прав, временных исключений, совмещения ролей и конфликтующих полномочий. Передавайте события изменения, согласования, входа и отзыва доступа в централизованный журнал с защитой от подмены. Недостаточно просто собирать журналы: заранее определите, кто разбирает оповещения, срок хранения и порядок эскалации.
Сохраняйте согласования и аудиторские данные
Сохраняйте прослеживаемую связь между заявителем, владельцем ресурса и утверждённой ролью. Для чувствительных данных фиксируйте цель, дату согласования, последнего пересмотра и срок доступа; после изменения проверяйте фактическое обновление групп и разрешений приложения. Журналы и отчёты помогают аудиту, но не заменяют обязательства организации, тестирование контролей и правовую оценку. Назначайте владельца и срок для каждого исключения.
Правильно храните пароли и секреты
Проверочное значение пароля и секрет, который нужно прочитать позже, требуют разных способов хранения. Выбирайте хранение и эксплуатационные проверки для каждого назначения. Не храните пароли пользователей открытым текстом или с обратимым шифрованием; для проверки паролей выбирайте намеренно медленный алгоритм хеширования и настраивайте вычислительную сложность под среду.
| Назначение учётных данных | Способ хранения | Эксплуатационная проверка |
|---|---|---|
| Проверка пароля пользователя | Уникальная соль и подходящий хеш пароля | Алгоритм и вычислительная сложность |
| Извлекаемый секрет службы/API | Шифрованное управляемое хранилище секретов | Минимальные права извлечения, аудит и ротация |
| Пароли сотрудников | Утверждённый управляемый менеджер паролей | Уникальные пароли, сильная защита входа в хранилище и восстановление |