Главная мысль
Свяжите реестр идентификаций с рабочими процессами: заранее фиксируйте владельца, цель, согласующего доступ и условие отключения аккаунта.
Создайте основной реестр и назначьте владельцев
Определите, в какой системе ведётся основной реестр пользователей, подрядчиков, служб, устройств и экстренных аккаунтов. Укажите бизнес-владельца, технического владельца, цель, утверждённые ресурсы и срок. Один человек может отображаться в разных каталогах под разными именами; сопоставляйте идентификаторы и расследуйте дублирующие или оставшиеся без владельца аккаунты. Центральный каталог даёт обзор, но локальные разрешения приложений могут требовать отдельной проверки.
Управляйте сменой ролей и доступа
При приёме выдавайте минимальные разрешения по утверждённой роли. При смене должности, команды или договора отзывайте разрешения, больше не нужные для новой роли, и отдельно согласуйте новый доступ, чтобы права не накапливались. Устанавливайте срок временного доступа и проверяйте автоматическое отключение. Для чувствительных систем проводите периодическую recertification; руководитель должен уточнять неизвестные права у владельца системы, а не утверждать их вслепую.
Проверяйте отключение аккаунтов и исключения
Подготовьте список действий при увольнении, завершении договора, потере устройства и компрометации: аккаунты, токены, ключи, сессии и членство в группах. Фиксируйте владельца, причину и срок исключений; закрывайте просроченные исключения, если они не согласованы повторно. Измеряйте задержки процесса и проверяйте взаимодействие HR, поддержки, облачных и прикладных владельцев.
Получите утверждённый сигнал
Проверьте полномочия для сигнала об уходе или инциденте и сохраните требуемые данные.
Отключите аккаунты
Отключите аккаунты каталога и приложений в утверждённом охвате; учтите группы и локальные разрешения.
Отзовите сессии и учётные данные
Отзовите поддерживаемые сессии и токены, замените затронутые учётные данные.
Проверьте каждую цель
Проверьте прекращение доступа, зафиксируйте оставшиеся сроки сессий и сбои коннекторов. Закрывайте исключения только если они не согласованы повторно.
Идентификация при удалённой и мобильной работе
Удалённые сотрудники, подрядчики и мобильные устройства обращаются к приложениям вне офисной сети, поэтому идентификацию нельзя основывать только на корпоративном сетевом подключении. Согласуйте центрального провайдера идентификации, федеративный вход, MFA, регистрацию устройств и ролевые решения на уровне приложения. Отдельно регулируйте новые и личные устройства; собирайте только необходимые для входа данные и отзывайте сессии и токены при потере устройства.