Separation of duties
Определение
Separation of duties, или разделение обязанностей, — принцип, при котором конфликтующие шаги и права распределяют между разными ролями или людьми. Общая учётная запись администратора такого разделения не создаёт: действия двоих под ней неразличимы, а права одинаковы.
Также ищут: SoD · разделение обязанностей · разделение полномочий
Зачем это знать
Разделение снижает риск fraud, ошибки и сокрытия следов, особенно для access grants, secrets, backups и audit controls.
Карта понятия
Что подтверждено
NIST AC-5 требует разделять duties разных individuals и документировать responsibilities, которым нужно такое разделение.
Граница применимости: Мера разделения обязанностей NIST SP 800-53 Rev. 5.
Что проверить
- Разделите request и approval.
- Используйте distinct identities.
- Проверьте конфликтующие roles.
Первоисточники
- Security and Privacy Controls for Information Systems and Organizations
Содержит controls для authorization, least privilege, separation of duties, privileged functions и protection of audit information.
- Identity and Access Management: Recommended Best Practices for Administrators
Связывает privileged identities с PAM, strong identity controls, auditing и ограничением administrative access.
Утверждения: 02