AUT-0217· Безпека та відповідність
Контроль конфліктів несумісних повноважень
Поєднання несумісних функцій має окремий розгляд, рішення та перевірку фактичних прав.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Кожен доступ окремо потрібен, але їх поєднання дозволяє одній людині виконати дії, які за політикою мають перевіряти різні люди.
02 / Результат
Видно перевірені правила, конфліктні поєднання, рішення щодо них, погоджені винятки та невирішені прогалини покриття.
03 / Процес
ТригерДодано або змінено правило несумісних функцій, роль чи призначення користувача; настав погоджений повторний перегляд.
Зафіксувати погоджену редакцію правил: які дві функції не може виконувати одна людина, в яких системах і межах організації.
Зібрати актуальну модель ролей, прямі та групові призначення; неповне або неперевірене джерело позначити як прогалину покриття.
Окремо перевірити несумісні функції всередині ролі та поєднання кількох ролей користувача; кожне правило має власний результат.
Створити запис конфлікту з правилом, фактичними призначеннями та відповідальним; повторний знімок не дублює відкритий конфлікт.
Уповноважена особа погоджує зміну призначення або обґрунтований виняток із заходами контролю й датою перегляду; відсутність рішення лишається відкритою.
Після застосування змін повторно прочитати права та перевірити всі потрібні правила; погодження винятку не прирівнювати до відсутності конфлікту.
04 / Реалізація1 варіант
Приклад · Перевірка поєднань функцій і простежувані рішення
Працівнику потрібні дві ролі. Одна дозволяє готувати операцію, друга — погоджувати її; політика забороняє це поєднання. Власник погодив зняття другої ролі, але повторне читання показало той самий доступ через групу. Конфлікт не закрили й передали адміністратору разом із джерелом успадкування.
Спосіб реалізації
- Проєктна модель PlanFix: записи правил, знімки повноважень, конфлікти, рішення й підтвердження результату. Фактичні права читаються та змінюються лише в перевірених цільових системах.
Що потрібно для реалізації
- Є затверджений перелік несумісних функцій, сфера перевірки та власники політики.
- Є джерела фактичних повноважень, зв’язок функцій із ролями та уповноважений незалежний погоджувач.
- Функції та правила затверджено власником політики.
- Повноту джерел прав і повноваження погоджувача визначено.
Обмеження
- Автоматизація не визначає універсального переліку несумісних посад або функцій.
- Відсутність знайдених конфліктів не доводить повноти перевірки групових та зовнішніх доступів.
- Погоджене рішення не підтверджує зміни прав у цільовій системі.
- Виняток не прибирає ризик і потребує окремої підстави та повторного перегляду.
- Години попередні; розробка внутрішньої політики й перебудова всієї моделі доступу не включені.
- CRM-рішення не змінює прав без підтвердженої інтеграції.
- Прогалини покриття не позначаються як відсутність конфліктів.
Що потрібно уточнити (2)
- Чи потрібно зіставляти повноваження однієї людини в кількох системах?
Погодьте джерела, єдиний ключ людини, межі організації та достатню повноту перевірки.
- Чи потрібні групові призначення та контроль винятків із повторним переглядом?
Укажіть джерело успадкованих прав, підстави винятків, заходи контролю й строки повторного рішення.