Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Модель ролей в сервисе аудита
Назначение Определяет роли, права (RBAC) и разделение полномочий внутри «сервиса аудита/вердиктов»: кто вправе выпустить вердикт, кто может переопределить блокировку gate, кто читает и кто администрирует журнал. В отличие от RACI (кто что делает по процессу) здесь — что роль вправе делать в системе.
Когда применяется
При настройке прав в сервисе аудита/вердиктов, при заведении нового сотрудника, при аудиторской проверке разделения обязанностей (segregation of duties), при разборе «кто переопределил gate».
Принципы
- Минимальные привилегии: роль получает только права, нужные для её шага процесса.
- Разделение обязанностей: тот, кто готовит вердикт, не утверждает его единолично; тот, кого аудируют, не администрирует журнал.
- Прослеживаемость: каждое привилегированное действие (override, удаление, экспорт) пишется в audit trail с актором.
Каталог ролей и прав
| Роль | Назначение | Права в сервисе аудита/вердиктов | Чего НЕ может |
|---|---|---|---|
| Наблюдатель (viewer) | Чтение результатов | Просмотр SBOM, findings, вердиктов, дашбордов | Менять статусы, выпускать вердикт |
| Аналитик SCA | Подготовка вердикта | Запуск «генератора фактов», правка статусов findings, черновик вердикта | Утверждать собственный вердикт, override gate |
| Триаж ИБ | Решение по уязвимостям | Присвоение severity/VEX-статуса, эскалация | Менять лицензионные решения |
| Юрист по лицензиям | Решение по лицензиям | Лицензионная классификация, заключение | Менять статусы уязвимостей |
| Утверждающий вердикт (approver) | Выпуск вердикта | Утверждение/отклонение вердикта, выпуск релизного решения | Готовить и утверждать один и тот же вердикт |
| Владелец исключений | Принятие риска | Заведение исключения со сроком, владельцем, обоснованием | Бессрочные исключения |
| Администратор сервиса | Эксплуатация | Управление ролями, интеграциями, источниками фактов | Выпускать вердикты, скрывать записи журнала |
| Аудитор | Независимый контроль | Чтение всех журналов и evidence, выгрузка | Любые изменения данных |
Матрица разделения полномочий (несовместимые роли)
| Роль A \ Роль B | Аналитик SCA | Утверждающий | Админ сервиса | Аудитор |
|---|---|---|---|---|
| Аналитик SCA | — | ✗ запрещено совмещать | ✗ | ✗ |
| Утверждающий | ✗ | — | ✗ | ✗ |
| Админ сервиса | ✗ | ✗ | — | ✗ |
| Аудитор | ✗ | ✗ | ✗ | — |
Override gate Переопределение блокировки CI security gate доступно только роли «Утверждающий вердикт» и только с обязательным обоснованием и сроком. Каждый override — запись в audit trail и автоматическое уведомление владельца процесса.
Связь с курсом
- Модули: М11 Корпоративный кейс генератор фактов и сервис вердиктов, М10 Много исполнителей и корпоративная модель продукта.
- Смежные шаблоны: RACI для SCA OSA процесса, Журналирование и audit trail, Реестр исключений, Требования к CI security gate.
- Нормативка: ISO IEC 27001 (A.5/A.8 управление доступом), ГОСТ Р 56939-2024.