تحديد وصيانة التحكم في الوصول القائم على الأدوار
الوصف
تحديد وصيانة التحكم في الوصول القائم على الأدوار من خلال تحديد والمحافظة على حقوق الوصول الممنوحة لكل دور ضمن المؤسسة لدعم التحكم في الوصول. إجراء مراجعات الوصول لأصول المؤسسة لتأكيد أن جميع الامتيازات مصرح بها على أساس متكرر على الأقل بشكل سنوي أو بشكل أكثر تكرارًا.
قائمة التحقق من التطبيق
توصيات الأدوات
منصة حوكمة وإدارة الهوية مع شهادات الوصول وإدارة دورة الحياة والذكاء الاصطناعي لتحليل الوصول
SailPoint · اشتراك لكل هوية
إدارة الهوية والوصول السحابية مع تسجيل الدخول الموحد والمصادقة متعددة العوامل والوصول المشروط وحوكمة الهوية
Microsoft · اشتراك لكل مستخدم (P1/P2)
منصة هوية سحابية توفر تسجيل الدخول الموحد والمصادقة متعددة العوامل التكيفية وإدارة دورة الحياة وإدارة الوصول عبر واجهات برمجة التطبيقات
Okta · اشتراك لكل مستخدم
التهديدات والثغرات (CIS RAM)
سيناريوهات التهديد
زحف الصلاحيات يؤدي إلى وصول غير مصرح به للبيانات
السريةبدون تحكم وصول قائم على الأدوار محدد، يتراكم لدى المستخدمين صلاحيات بمرور الوقت أثناء تنقلهم بين الفرق، ويحصلون في النهاية على وصول مفرط ينتهك مبادئ أقل الصلاحيات.
تهديد داخلي مضخم بحدود وصول غير محددة
السريةيستغل مطلع خبيث حقوق وصول محددة بشكل غامض للوصول إلى البيانات والأنظمة بعيداً عن متطلبات وظيفته الفعلية، حيث لا يوجد نموذج RBAC يقيده بالوصول الضروري.
فشل الامتثال من حقوق وصول غير موثقة
السلامةيجد المدققون التنظيميون أن حقوق الوصول غير موثقة حسب الدور، مما يجعل من المستحيل إثبات امتثال أقل الصلاحيات مع أطر مثل SOX وHIPAA أو PCI DSS.
الثغرات (عند غياب الإجراء الوقائي)
عدم وجود نموذج تحكم وصول قائم على الأدوار محدد
بدون أدوار محددة تربط وظائف العمل بحقوق الوصول المطلوبة، تُمنح الصلاحيات بشكل مخصص بناءً على طلبات فردية بدلاً من متطلبات دور موحدة.
عدم وجود عملية مراجعة متكررة لصلاحيات الوصول
بدون مراجعات وصول سنوية أو أكثر تكراراً تتحقق من الصلاحيات مقابل تعريفات الأدوار، لا يتم تحديد الصلاحيات المتراكمة أو إلغاؤها أبداً.
متطلبات الأدلة
| النوع | عنصر الدليل | تكرار الجمع |
|---|---|---|
| وثيقة | وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) | يُراجع سنوياً |