AUT-0434· Безпека та відповідність
Періодичний перегляд доступу зовнішніх користувачів
Власник ресурсу підтверджує потребу кожного підрядника або гостя в доступі до груп і застосунків.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Підрядники, партнери й гості зберігають доступ після завершення робіт або зміни відповідального, а компанія не має історії регулярних рішень щодо нього.
02 / Результат
На кожний цикл є перелік зовнішніх користувачів і ресурсів, підтвердження власника, строк рішення, призначена дія та доказ застосування відкликаного доступу.
03 / Процес
ТригерНастав квартальний або інший погоджений строк перегляду зовнішніх користувачів і їхніх призначень.
Сформувати зріз зовнішніх облікових записів, груп і застосунків із джерела доступу; зафіксувати час, фільтри та стан синхронізації даних.
Для кожного призначення визначити ресурс, підставу доступу, спонсора або власника, дату завершення договору та попереднє рішення; невідомого власника передати адміністратору.
Надіслати власникам обмежений перелік їхніх ресурсів із варіантами рішення: залишити до вказаної дати, уточнити підставу або відкликати після перевірки залежностей.
Нагадати до кінцевого строку; прострочене чи суперечливе рішення ескалувати власнику без автоматичного припущення, що мовчання означає дозвіл.
Після підтвердженого рішення передати зміну уповноваженому адміністратору або до перевіреного механізму керування ідентичностями; не видаляти обліковий запис, якщо інші ресурси ще залежать від нього.
Звірити результат із джерелом доступу, зберегти попередній стан, погодження, виконавця й час зміни; невдале відкликання залишити відкритим винятком.
04 / Реалізація1 варіант
Приклад · Підтвердження призначень власниками ресурсів
Після квартального зрізу власник проєктної групи підтвердив доступ двом активним підрядникам до дати завершення угоди та попросив відкликати третє призначення. Адміністратор змінив групу, а контрольний імпорт підтвердив результат; обліковий запис залишився, бо він має доступ до іншого ресурсу.
Спосіб реалізації
- Microsoft Entra ID Governance access reviews для підтримуваних груп або застосунків; результат перегляду застосовується в Entra за налаштованими ролями та політикою.
- PlanFix як журнал строків, відповідальних і винятків із періодичною задачею; інвентаризацію та зміни доступу виконує погоджена система ідентичностей або адміністратор.
Що потрібно для реалізації
- Є авторитетний перелік зовнішніх користувачів і призначень групам або застосункам із датою оновлення.
- Для ресурсів визначені власники або спонсори, період перегляду, крайній строк і уповноважені виконавці змін.
- Погоджені правила для мовчання, прострочених контрактів, сервісних облікових записів, груп із вкладеними членствами та доказів відкликання.
- Потрібні обмежений перелік призначень та окремий виконавець із правом застосувати погоджені зміни.
Обмеження
- Microsoft Entra access reviews вимагає відповідної ліцензії та ролей; доступність функцій залежить від ресурсу й налаштування орендаря.
- PlanFix підтверджує періодичні задачі, чеклісти й файли, але не інвентаризацію груп або відкликання доступу в постачальнику ідентичностей.
- Не відкликати доступ автоматично лише через відсутність відповіді без затвердженої політики, перевірки власника ресурсу та залежних призначень.
- Інтеграція з каталогом користувачів, обробка персональних даних і попередні оцінки потребують аудиту конкретної організації.
- Функції Microsoft Entra залежать від ліцензії та типу ресурсу. Для інших каталогів потрібне окреме підтвердження API й механізму застосування рішення.
Що потрібно уточнити (3)
- Чи потрібно імпортувати призначення з каталогу ідентичностей або застосунків?
Уточніть джерело, період оновлення, API та точну область даних.
- Чи потрібно переглядати кілька каталогів, груп і застосунків?
Врахуйте окремих власників і різні правила для кожного типу ресурсу.
- Чи потрібно автоматично застосовувати підтверджені відкликання у джерелі доступу?
Потрібні політика обробки мовчання, дозволи, перевірка залежних призначень і доказ результату.