Как фиксировать согласования доступа к VPN без истории просмотров
Оставьте личность, согласующего и срок действия, а список назначений пропустите. Три условия определяют, сколько решения о доступе действительно нужно хранить в деле.
Две команды просят один и тот же артефакт и вкладывают в него разный смысл. Проверяющий хочет доказательство, что названное лицо согласовало роль до определённой даты, а у сетевой команды есть журнал межсетевого экрана, полный назначений, и она считает, что этого достаточно. Этого недостаточно, и поэтому папки согласований заполняются именами хостов и всё равно проваливают первый вопрос аудита. Того, что действительно нужно, немного, и ничего из этого не требует записывать, куда кто заходил.
Размер записи следует трём условиям: даётся ли согласование на человека или на роль, может ли право пережить трудовые отношения человека и называет ли договор или рамка проверку доступа обязательным доказательством.
Начните с вопроса проверяющего, а не с подключения
Запишите вопрос, который аудитор задал бы вслух, прежде чем выбрать хотя бы одно поле. Кто согласовал доступ для этой личности, на что, между какими датами и кто должен был снять его в конце. Каждое поле формы должно отвечать на часть этого предложения, а всё, что этого не делает, — инвентарь, за защиту которого вы только что взяли на себя обязательство.
Эта проверка убирает большую часть того, что добавляется по привычке. Списки назначений, запросы DNS, графики использования приложений и снимки экрана живой сессии описывают поведение. Поведение не является согласованием, и его сбор переводит дело в гораздо более высокий класс чувствительности, что работает против цели, с которой вы начинали.
Три условия определяют, сколько хранить
Согласования на человека требуют личности и даты окончания. Согласования на роль требуют роли, предоставляемого ею охвата и владельца совокупности, потому что перечисление сорока человек в одной строке создаёт сорок записей для сопровождения и сорок шансов пропустить увольнение. Там, где право может пережить трудовые отношения, добавьте владельца удаления и ритм проверки, поскольку срок в таблице редко побуждает кого-либо действовать.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Когда рамка называет проверку доступа обязательным доказательством, сохраняйте тот артефакт, на который процедура проверки уже ссылается. Построение параллельной копии для команды VPN — это путь, которым две версии одного согласования начинают расходиться в дате окончания.
Поля, которые несут решение
Рабочий набор короток: согласованная личность, заявитель, согласующий, охват роли или ресурса, причина в одной строке, окно действия, владелец проверки или удаления и указатель на заявку, где запрос обсуждался. Ссылайтесь на устройство или учётные данные несекретным идентификатором, например меткой актива или субъектом сертификата, никогда — использованным закрытым ключом или паролем.
Относитесь к результату как к персональным данным, даже если в нём нет назначений. Запись, которая говорит, что этот названный сотрудник полгода имел административный доступ к финансовому сегменту, чувствительна сама по себе, поэтому ограничьте, кто может читать папку, и задайте срок хранения для административной цели, а не называйте дело анонимным.
Откуда данные о просмотрах попадают в дело согласования
Три утечки объясняют большую часть. Заявка службы поддержки содержит снимок экрана окна подключения клиента, кто-то вставляет выгрузку SIEM для контекста, или отчёт инвентаризации присоединяется к согласованию, потому что тогда объединение было простым. Каждое вложение добавляет поведение в дело, которому нужно было только решение. Как только снимок внутри, проверяющий начинает спрашивать, куда добирался пользователь, и дело приходится переклассифицировать.
Заменяйте вложения ссылками там, где инструмент это позволяет. Если политика настаивает на вложении, просите текст решения и ветку запроса, а не запись сессии, и уберите остальное до сохранения дела. Сообщение самого согласующего обычно является лучшим доказательством и наименее раскрывающим.
Проверьте охват без следа
Именно политика шлюза превращает согласование в доступ, поэтому проверяйте её напрямую. Войдите учётной записью внутри согласованного охвата и достигните разрешённого ресурса, затем попробуйте назначение за пределами охвата и подтвердите отказ, используя клиент и метод, которых ожидает политика, а не вкладку браузера на том же хосте.
Мониторинг доступности и диагностика инцидентов могут сохранять собственную видимость под собственным сроком хранения и собственным списком доступа. Разделение этих двух целей и позволяет ответить проверяющему, не передавая след просмотров, и сохраняет диагностику полезной, когда что-то действительно ломается.
Что проверить перед следующей проверкой
Убедитесь, что форма отвечает на предложение аудитора и ни на что больше. Проверьте, что каждая строка несёт согласующего, окно и владельца удаления. Затем посмотрите на собственный список доступа папки и спросите, меньше ли он базы пользователей VPN.
Последний шаг — тот, который люди пропускают. Возьмите истёкшее согласование и проследите его до поставщика личности, чтобы увидеть, действительно ли учётная запись была отключена. Если личность всё ещё активна, запись была точной, а процесс — нет.