Доступ и аудит
Права по ролям и атрибутам, объяснённый отказ и журнал аудита. Вход через корпоративный каталог подключается при внедрении; до этого сотрудники входят по паролю. Для оператора, у которого в CRM данные абонентов и договоры с юрлицами.
- Права
- Роли
плюс политики по атрибутам - Вход
- SSO
OIDC, SAML 2.0, Kerberos - Журнал
- Хеш-цепочка
проверка целостности
Выгрузка продаж в CSV недоступна
Выгрузки разрешены в рабочие часы. Попробуйте после 09:00 или обратитесь к руководителю отдела продаж.
- Требуемое право
- crm.export
- Роль
- Продавец · право есть
- Сработала политика
- Выгрузки только в рабочие часы
- Контекст
- 22:14 · сеть офиса
- Журнал
- запись № 184 203 · хеш сверен
Шесть механизмов контура доступа
Вход через SSO
OpenID Connect, SAML 2.0, Kerberos. Ваш провайдер подключается при внедрении, до этого сотрудники входят по паролю.
Права по ролям
Роль решает, какие разделы видны: менеджер, руководитель продаж, администратор каталога, инженер, аудитор ИБ.
Политики по атрибутам
Условия поверх ролей: владелец, сумма, этап, час, сеть. Запрет побеждает, отказ объясняется.
Журнал с хеш-цепочкой
Роль приложения ограничена в правке журнала. Обращения приложения к персональным данным отмечаются отдельно.
События в вашу SIEM
Передача событий по Syslog RFC 5424 настраивается и проверяется с вашей SIEM.
Симулятор прав
Проверяет решение за любого сотрудника с подменой часа и адреса, ничего не меняя.
Когда доступ к данным абонентов нужно показать, а не пообещать
Оператор готовится к проверке доступа
Права по ролям и журнал доступа помогают показать, кто может работать с данными абонентов. На демо можно проверить выдачу прав и запись событий на вашем сценарии.
Служба информационной безопасности
На демо покажем механизмы входа, политики по атрибутам и симулятор прав. Подключение вашего провайдера и приём событий Syslog RFC 5424 вашей SIEM проверяются при внедрении.
Вход через корпоративный каталог
После подключения вашего провайдера при внедрении сотрудники входят теми же учётными записями, что и в остальные системы оператора, а роли назначаются по группам каталога. Локальный пароль можно оставить запасным входом — например, для администратора, если каталог недоступен.
Поддерживаемые протоколы
- OpenID Connect
- SAML 2.0
- Kerberos / SPNEGO — вход без пароля из доменной сети
- Локальный пароль — до подключения провайдера и как запасной вход
Права в ролях и политики по атрибутам
Роль говорит, что сотрудник может делать в принципе. Политика уточняет, когда и с какими данными. Если роль разрешает, а политика запрещает — действие запрещено: запрет побеждает.
| Атрибут | Пример политики |
|---|---|
| Владелец | Продавец меняет только свои продажи |
| Сумма | КП выше заданной суммы отправляет руководитель |
| Этап | После этапа «Договор» состав КП не меняется |
| Час | Выгрузки в CSV только в рабочие часы |
| Сеть | Персональные данные абонентов открываются только из сети офиса |
Примеры иллюстративные: политики настраивает ваш администратор под свои правила.
Состав прав зависит от версии и подключённых модулей. Нужные действия и ограничения проверяются при настройке ролей.
Механизмы описаны в документации демостенда, сверено . Провайдер входа, политики и внешние подключения проверяются для вашей конфигурации при внедрении.
Отказ объясняется, решение можно проверить заранее
Пользователь видит, какое право требовалось и какая политика сработала, поэтому вопрос «почему не пускает» не уходит в поддержку. Симулятор прав показывает решение за любого сотрудника до того, как он столкнётся с отказом.
- Сотрудник
- Менеджер отдела продаж
- Действие
- crm.export
- Контекст
- 22:14 · сеть офиса
| Правило | Решение |
|---|---|
| Роль «Продавец» · crm.export | Разрешает |
| Политика «Выгрузки только в рабочие часы» | Запрещает |
| Итог: запрет побеждает | Отказано |
Журнал аудита: ограничение правки и проверка целостности
- Роль приложения в СУБД не может править и удалять записи журнала
- Записи связаны хеш-цепочкой; проверка помогает обнаружить нарушение целостности
- Обращения приложения к персональным данным помечаются отдельно
- Передача событий в SIEM по Syslog RFC 5424 — после настройки приёмника
Это контроль действий внутри приложения. Доступ администраторов к серверу и СУБД, хранение журнала и проверка приёма событий в SIEM определяются отдельно для установки.
| № | Время | Событие |
|---|---|---|
| 184 201 | 22:09:41 | Просмотр карточки абонента |
| 184 202 | 22:12:05 | Изменение роли «Продавец» |
| 184 203 | 22:14:10 | Отказ: crm.export |
Хеш-цепочка сверена: 184 203 из 184 203 записей
Внешние системы получают только нужные права
API защищён OAuth 2.0: у каждой интеграции свои области доступа (scopes); поддерживаются проверка действительности токенов и их отзыв.
Scopes
Интеграция с биллингом не видит обсуждений, выгрузка отчётов не меняет каталог.
Интроспекция
Каждый токен можно проверить: чей он, какие права даёт и до какого момента действует.
Отзыв токенов
Ненужный токен можно отозвать. Проверку прекращения доступа включаем в приёмку конкретной интеграции.
Ответы для ИТ и ИБ: сервер, копии, обновления, портыВсе возможности «Гиперплана»
Покажем контур доступа вашей службе ИБ
Покажем на примере ваших услуг. Время и формат встречи согласуем после заявки.