Управление ролями и правами доступа#

Контекст#

Данный паттерн позволяет организовать эффективное управление доступом к функциональности платформы Platform V ASOC Control Center, обеспечивая защиту данных и безопасность критически важных операций путем четкого разделения прав между пользователями различных ролей. Паттерн подходит для случаев, когда необходимо управлять сложной структурой доступа множества сотрудников с разными обязанностями внутри единой среды управления платформой.

Проблема#

Паттерн направлен на решение следующих проблем:

  • Сложность ручной настройки и сопровождения доступа к многочисленным компонентам платформы для большого числа пользователей.

  • Риск случайного или намеренного нарушения целостности данных и нарушений бизнес-процессов вследствие неправильного предоставления доступа пользователям.

  • Необходимость минимизировать число пользователей с максимальным уровнем привилегий (администраторами).

  • Повышение эффективности взаимодействия команд разработчиков, владельцев продуктов и специалистов по информационной безопасности посредством гибкой политики разграничения доступа.

Решение#

Для эффективного распределения обязанностей и контроля доступа к функциональности Platform V ASOC Control Center рекомендуется применять следующую схему назначения ролей:

  • Владелец проекта - имеет полный доступ ко всей функциональности платформы, включая администрирование пользователей и интеграций.

  • Разработчик - выполняет базовые операции по созданию и изменению проектов, работает с данными о дефектах и мониторит статус безопасности.

  • Специалист по информационной безопасности (Специалист ИБ) - осуществляет операции по анализу и обработке дефектов, изменению статусов и уровню критичности, инициированию сканирований и управлению правилами безопасности.

Такая схема обеспечивает разделение ответственности и минимизирует риски несанкционированного доступа к важным данным и операциям.

Платформа Platform V ASOC Control Center реализует следующие роли с соответствующими уровнями доступа, позволяющие эффективно решать перечисленные проблемы:

  1. Создание новых проектов с указанием названия и тегов - роли Владельца проекта и Разработчика.

  2. Обновление информации о существующих проектах - роли Владельца проекта и Разработчика.

  3. Удаление проектов из системы - роли Владельца проекта и Разработчика.

  4. Запуск процесса сканирования проектов с выбором типа сканера (SASTMASTER/SCAMASTER/Image Scan) - роли Владельца проекта и Специалиста ИБ.

  5. Импорт результатов внешнего сканирования в систему - роли Владельца проекта и Специалиста ИБ.

  6. Просмотр списка дефектов безопасности с возможностью фильтрации по типу сканера - роли Владельца проекта, Специалиста ИБ и Разработчика.

  7. Настройка критериев безопасности для проектов (Security Gate) - роли Владельца проекта и Специалиста ИБ.

  8. Просмотр аналитических данных в дашборде с выбором типа графика и временных рамок - роли Владельца проекта, Специалиста ИБ и Разработчика.

  9. Просмотр истории предыдущих сканирований проектов - роли Владельца проекта, Специалиста ИБ и Разработчика.

  10. Исключение дефектов из общего учета с указанием причины и сроков действия исключения - роли Владельца проекта и Специалиста ИБ.

Данная система управления ролями обеспечивает четкое распределение функций, повышая общую защищенность и управляемость платформы.