AUT-0717· Безпека та відповідність
Розгляд запиту застосунку на доступ до даних організації
Запит застосунку перевіряється за потрібними дозволами, підставою та охопленням; рішення адміністратора звіряється з фактичним станом.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Працівник просить підключити застосунок, але невідомо, які дані та користувачі стануть доступними. Погодження одного запиту можуть помилково вважати доступом лише одного працівника.
02 / Результат
Для застосунку зафіксовані перевірені дозволи, охоплення та рішення адміністратора; фактичний доступ і обмеження не підміняються самим записом погодження.
03 / Процес
ТригерКористувач подав запит на адміністративне погодження дозволів застосунку в організації.
Пов’язати запит із конкретним застосунком, ідентифікатором, заявниками та бізнес-підставою; схожу назву не приймати як ту саму програму.
Показати фактичні потрібні дозволи, дані й очікуване охоплення; невідомого видавця або надмірний доступ передати власнику безпеки.
Призначений перевіряльник оцінює запит і свої права на рішення; потрібне обмеження користувачів розглядати окремо від дозволів застосунку.
Адміністратор виконує дозволене погодження, відмову або блокування в цільовому джерелі; зберегти конкретне рішення й причину без токенів.
Звірити фактичні дозволи та потрібні обмеження користувачів; відмову одному запиту не трактувати як постійне блокування застосунку.
Передати заявникам підтверджений результат; зміна складу дозволів або застосунку повертає відповідну перевірку, невизначений результат лишається відкритим.
04 / Реалізація1 варіант
Приклад · Контроль із підтвердженням результату
Запитувач очікував підключення програми лише для своєї команди. Перевірка виявила організаційне охоплення погодження. Адміністратор окремо звірив обмеження користувачів перед завершенням контролю.
Спосіб реалізації
- Вести запит, перевірені дозволи, охоплення й рішення власника даних.
- Звіряти результат адміністративного рішення та обмеження користувачів через перевірений механізм цільової системи.
Що потрібно для реалізації
- Підтриманий маршрут адміністративного погодження й призначені перевіряльники.
- Ідентифікатор застосунку, фактичні дозволи та підстава заявників.
- Власник даних і правила дозволеного організаційного охоплення.
- Доступ до результату рішення та окремих обмежень користувачів.
Обмеження
- Адміністративне погодження може дозволяти доступ усім користувачам організації, якщо окремі призначення не обмежують його. Не обіцяємо доступ лише заявнику.
- Microsoft розрізняє відмову запиту та блокування застосунку. Описаний Microsoft Graph дозволяє перегляд запитів, але не їх погодження чи відмову.
- Підключення всіх бізнес-даних, новий SSO, міграцію користувачів і автоматичне надання дозволів не включено. Потрібні ролі та охоплення перевіряють у цільовому середовищі.
- Права й можливості цільового середовища перевіряють на аудиті; години попередні.
Що потрібно уточнити (2)
- Чи треба перевіряти кілька наборів дозволів і власників даних?
Надайте точні дозволи та погоджені межі потрібних даних.
- Чи потрібні окремі обмеження користувачів і перевірка фактичного доступу?
Погодьте дозволену групу, способи призначення та контрольні перевірки.