DOC-04 / Контроль и соответствие
Безопасность и управление доступом
Учетные записи, секреты, контроль полномочий и аудит изменений. Материал представляет общие принципы работы и не содержит конфиденциальных параметров инфраструктуры.
Для изменения параметров инфраструктуры используйте согласованные инструкции и утверждённые процедуры. Внутренние данные размещаются в защищённой рабочей области.
Принципы доступа
Права предоставляются на основании служебной необходимости. Для административных операций используются отдельные персональные учётные записи.
Секреты и сертификаты
Пароли, токены, закрытые ключи и учётные данные не размещаются в публичной документации и не передаются через незащищённые каналы.
Внешние подключения
Административные интерфейсы ограничиваются доверенными сетями. Каждый новый доступ должен иметь обоснование, владельца и порядок отключения.
Проверка изменений
Изменения безопасности проходят проверку после применения. Критичные настройки должны иметь журнал событий и подтверждённый сценарий отката.
Контрольные области
| Область | Содержание |
|---|---|
| Идентификация | Именные учётные записи |
| Авторизация | Минимально необходимые роли |
| Аудит | Протоколирование значимых действий |