Henkilöllisyyden ja käyttöoikeuksien hallinta - Kuviot
Lue lisää Well-Architected Trust -ominaisuudesta → Identity and Access Management
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Sovellusalusta | Arkkitehtuuri | ✅ Käyttöoikeusjoukot vahvistavat henkilöllisyyden erikseen jokaisessa pyynnössä, riippumatta verkkosijainnista tai laitteesta |
| Sovellusalusta | Arkkitehtuuri | ✅ Identiteettiin perustuvat suojausasetukset korvaavat verkkoon perustuvat Trust |
| Sovellusalusta | Organisaatio | ✅ Käyttöoikeuksien päätökset ottavat huomioon, kuka pyytää käyttöoikeutta (todennus), mitä heillä on lupa tehdä (valtuutus) ja asiayhteys (laite, sijainti) |
| Sovellusalusta | Dokumentaatio | ✅ Suojausarkkitehtuuri dokumentoi identiteetin ensisijaisena Trust, ei verkkoalueena |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Sovellusalusta | Arkkitehtuuri | ⚡️ Yritysverkon tai VPN:n käyttäjiä pidetään luotettavina ja heille myönnetään laajempi käyttöoikeus pelkän verkoston sijainnin perusteella |
| Sovellusalusta | Arkkitehtuuri | ⚡️ Käyttöoikeuksien ohjaimet ovat riippuvaisia verkkoalueesta henkilöllisyydenvahvistuksen sijaan |
| Sovellusalusta | Organisaatio | ⚡️ Käyttöoikeuksien päätökset eivät ota huomioon asiayhteysmerkkejä (laite, sijainti, aika, toimintokuvioita) |
| Sovellusalusta | Dokumentaatio | ⚡️ Suojausarkkitehtuuri käsittelee verkkosijaintia ensisijaisena Trust |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ✅ Ratkaisut hyödyntävät kaikkia neljää Salesforcen käyttöoikeustasoa: Organisaatio (lisenssit, ominaisuudet), Objekti (CRUD), Kenttä (FLS), Tietue (jakaminen) |
| Sovellusalusta | Organisaatio | ✅ Käyttöoikeusmalli on suunniteltu ylhäältä alas (organisaatio → objekti → kenttä → tietue) ja vahvistettu alaspäin |
| Sovellusalusta | Organisaatio | ✅ Organisaationlaajuiseksi oletusasetukseksi (OWD) määritetään Yksityinen objekteille, jotka sisältävät luottamuksellisia tietoja |
| Sovellusalusta | Organisaatio | ✅ Julkisen vain luku -asetukseksi määritetyt OWD-arvot rajoittuvat viiteobjekteihin (tuotteet, hintakirjat), joissa laaja näkyvyys tukee liiketoimintaa paljastamatta riskiä |
| Sovellusalusta | Organisaatio | ✅ Organisaatiotason rajoitukset (lisenssit, IP-osoitealueet, sisäänkirjautumisajat, ominaisuuksien käyttöoikeudet) määrittävät käyttäjäjoukkojen perustoiminnot |
| Sovellusalusta | Organisaatio | ✅ Objektien käyttöoikeudet (profiilien ja käyttöoikeusjoukkojen kautta) hallitsevat käyttäjäsegmenttien objektien luonti-, luku-, muokkaus- ja poisto-oikeuksia |
| Sovellusalusta | Organisaatio | ✅ Kenttätason suojaus suojaa luottamuksellisia kenttiä, vaikka objektien käyttöoikeus olisi myönnetty |
| Sovellusalusta | Organisaatio | ✅ Tietuetason jakaminen käyttää roolihierarkian ja jakosääntöjä, jotka perustuvat dokumentoituihin liiketoimintavaatimuksiin |
| Sovellusalusta | Organisaatio | ✅ Käyttöoikeus laajennetaan tarkoituksella rajoittavasta perustasosta, eikä rajoitusta sallittujen oletusasetusten jälkeen |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ⚡️ Käyttöoikeusmalli ei hyödynnä kaikkia neljää kerroksia (organisaatio, objekti, kenttä, tietue) |
| Sovellusalusta | Organisaatio | ⚡️ OWD-arvo on Julkinen luku/kirjoitus, jotta kehitystyön aikana ei ole rajoituksia |
| Sovellusalusta | Organisaatio | ⚡️ Liian sallittuja OWD-arvoja on vaikea rajoittaa nopeammin, kun datamäärä kasvaa ja liiketoimintaprosessit kristallisoituvat |
| Sovellusalusta | Organisaatio | ⚡️ Kenttätason suojausta ei ole määritetty, se perustuu vain objektin tai tietuetason käyttöoikeuksien hallintaan |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ✅ Monimenetelmäinen todennus (MFA) on pakollinen kaikille käyttäjille, jotka käyttävät tuotantoympäristöjä (pakollinen käyttöliittymän käyttöoikeudelle) |
| Sovellusalusta | Organisaatio | ✅ MFA laajennetaan etuoikeutettuihin toimintoihin, mukaan lukien joukkodatan vientiin, käyttöoikeuksien muutoksiin ja hallintakokoonpanoon |
| Sovellusalusta | Organisaatio | ✅ Kertakirjautuminen (SSO) käyttää SAML 2.0- tai OpenID Connect -protokollia |
| Sovellusalusta | Organisaatio | ✅ Istunnon aikakatkaisu on määritetty oikein: 2 tuntia vakiokäyttäjille, 15–30 minuuttia pääkäyttäjille ja käyttäjille, jotka käyttävät rajoitettua dataa |
| Sovellusalusta | Organisaatio | ✅ IP-rajoituksia sovelletaan pääkäyttäjien profiileille ja integraatiokäyttäjille |
| Sovellusalusta | Organisaatio | ✅ Kirjautumisajat rajoittavat palvelutilit odotettuihin toiminta-aikoihin |
| Sovellusalusta | Organisaatio | ✅ Natiivi laitteen aktivointi vahvistaa sisäänkirjautumiset tuntemattomista laitteista; MFA ja IP-rajoitukset parantavat korkean oikeuden tilien suojausta |
| Sovellusalusta | Organisaatio | ✅ Jos SSO-kertakirjautuminen on käytössä, hyväksytyillä pääkäyttäjillä on suora sisäänkirjautumisoikeus (keskeytetyt toimenpiteet) |
| Sovellusalusta | Organisaatio | ✅ Salesforceen kirjautuvien käyttäjien ja entiteettien välinen suhde on 1:1 (ei jaettuja käyttäjätilejä) |
| Sovellusalusta | Organisaatio | API-käyttöoikeuksien hallinta estää käyttäjiä todentamasta itsensä valtuuttamattomien yhdistettyjen sovellusten kautta |
| Sovellusalusta | Nimetyt tunnukset | ✅ Nimetyt ja ulkoiset tunnukset hallitsevat todennusta keskitetysti kierrätysominaisuuksilla |
| Sovellusalusta | Nimetyt tunnukset | ✅ Nimettyjen tunnusten abstrakti todennustiedot koodista, mikä sallii tunnusten päivityksiä ilman koodimuutoksia |
| Sovellusalusta | Nimetyt tunnukset | ✅ Tunnuksia ei koskaan upoteta koodiin, kokoonpanotiedostoihin tai versioiden hallintaan |
| Sovellusalusta | Apex | ✅ Todennusmenetelmät käyttävät nimettyjä tunnuksia käyttäjänimi-/salasana-kulkujen käsittelemiseen |
| Sovellusalusta | Apex | ✅ Käyttäjänimet tai salasanat eivät näy koodissa luettavassa muodossa (ei kovakoodattuja arvoja tai merkkijonoja) |
| Sovellusalusta | Aura | ✅ Todennusmenetelmät käyttävät nimettyjä tunnuksia käyttäjänimi-/salasana-kulkujen käsittelemiseen |
| Sovellusalusta | Aura | ✅ Käyttäjänimiä tai salasanoja ei näytetä koodissa luettavassa muodossa |
| Sovellusalusta | Lightning (LWC) | ✅ Todennusmenetelmät käyttävät nimettyjä tunnuksia |
| Sovellusalusta | Lightning (LWC) | ✅ Koodissa ei näytetä käyttäjänimiä tai salasanoja |
| Integraatio | API | ✅ OAuth 2.0 JWT -haltijan kulkua käytetään palvelinpalvelin-integraatioissa luotetuissa ympäristöissä (suositus tuotanto-integraatioissa) |
| Integraatio | API | ✅ OAuth 2.0 -verkkopalvelinkulkua käytetään palvelinpalvelin-integraatioissa, jotka vaativat käyttäjäkontekstia |
| Integraatio | API | ✅ OAuth 2.0 -laitekulkua käytetään headless-laitteille; CLI- ja CI/CD-työkalut käyttävät verkkopalvelinkulkua (sf org login web) tai JWT-haltijan kulkua (sf org login jwt) — laitekulku estettiin oletusarvoiselle yhdistetylle Salesforce CLI -sovellukselle 28. elokuuta 2025 alkaen |
| Integraatio | API | ✅ Käyttäjänimi/salasana-OAuth-kulkua ei käytetä; siihen luottavat olemassa olevat integraatiot siirretään JWT-haltijan tai asiakassovelluksen tunnusten kulkuun |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ⚡️ MFA-todennusta ei sovelleta tuotantoympäristöjen käyttöä varten |
| Sovellusalusta | Organisaatio | ⚡️ Sisäänkirjautumiskokoonpanot eivät vastaa Salesforcen MFA-vaatimuksia |
| Sovellusalusta | Organisaatio | ⚡️ MFA-todennusta ei laajenneta etuoikeutettuihin toimintoihin (joukkoviennit, käyttöoikeuksien muutokset, hallintakokoonpano) |
| Sovellusalusta | Organisaatio | ⚡️ Istunnon aikakatkaisua ei ole määritetty tai se on liian sallittu (yli 24 tuntia) |
| Sovellusalusta | Organisaatio | ⚡️ Istuntokäytännöt eivät erottele vakiokäyttäjiä ja pääkäyttäjiä/käyttäjiä, jotka käyttävät Rajoitettu-dataa |
| Sovellusalusta | Organisaatio | ⚡️ IP-rajoituksia ei sovelleta pääkäyttäjien profiileille ja integraatiokäyttäjille |
| Sovellusalusta | Organisaatio | ⚡️ Palvelutileillä ei ole kirjautumisaikoja rajoitettu odotettuihin toiminta-aikoihin |
| Sovellusalusta | Organisaatio | ⚡️ Korkean oikeutuksen tilit eivät luota mihinkään laitteen aktivoinnin lisäksi — ei MFA-todennusta tai IP-rajoituksia |
| Sovellusalusta | Organisaatio | ⚡️ Jos SSO-kertakirjautuminen on käytössä, yhdelläkään hyväksytyllä pääkäyttäjällä ei ole suoraa kirjautumisoikeutta (ei keskeytysikkunoita) |
| Sovellusalusta | Organisaatio | ⚡️ Käyttäjien ja entiteettien välinen suhde ei ole 1:1 (jaettuja käyttäjätilejä on olemassa) |
| Sovellusalusta | Organisaatio | ⚡️ API-käyttöoikeuksien hallinta ei ole käytössä |
| Sovellusalusta | Nimetyt tunnukset | ⚡️ Tunnukset upotetaan suoraan koodiin, kokoonpanotiedostoihin tai versioiden hallintaan |
| Sovellusalusta | Apex | ⚡️ Käyttäjänimet ja salasanat näytetään koodissa luettavassa muodossa |
| Sovellusalusta | Apex | ⚡️ Todennus käsitellään ad hoc ilman yhdenmukaista toteutusta |
| Sovellusalusta | Aura | ⚡️ Todennus käsitellään ad hoc ilman nimettyjä tunnuksia |
| Sovellusalusta | Aura | ⚡️ Käyttäjänimet ja salasanat näytetään koodissa |
| Sovellusalusta | Lightning (LWC) | ⚡️ Todennus käsitellään ad hoc ilman nimettyjä tunnuksia |
| Sovellusalusta | Lightning (LWC) | ⚡️ Käyttäjänimet ja salasanat näytetään koodissa |
| Sovellusalusta | Yritys | ⚡️ Käyttäjien provisioinnin ja provisioinnin kumoamisen palvelutasosopimuksia ja vaatimuksia ei ole olemassa |
| Integraatio | API | ⚡️ Käyttäjänimi/salasana-OAuth-kulkua käytetään, kun käytettävissä on turvallisempia OAuth-kulkuja |
| Integraatio | API | ⚡️ OAuth-vaikutusalueet ovat liian sallittuja (täysi käyttöoikeus, kun rajoitettu vaikutusalue riittää) |
| Integraatio | API | ⚡️ Asiakastunnukset (asiakastunnus, asiakassalaisuus) tallennetaan epäsuojatusti koodiin tai määritystiedostoihin |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ✅ Roolihierarkian syvyys on 5-7 tasoa enintään (suorituskyvyn ylittymisen ja monimutkaisuuden välttämiseksi) |
| Sovellusalusta | Organisaatio | ✅ Käyttöoikeusjoukot ja käyttöoikeusjoukkoryhmät tarjoavat joustavan ja lisäosan ilman profiilien lisääntymistä |
| Sovellusalusta | Organisaatio | ✅ Käyttöoikeusjoukot myöntävät käyttöoikeuden tietyille työtehtäville, sovelluksille tai väliaikaisille parannetuille käyttöoikeuksille |
| Sovellusalusta | Organisaatio | ✅ Käyttöoikeusjoukkoryhmät yhdistävät asiaan liittyviä käyttöoikeusjoukkoja ja mykistävät ominaisuuksia poikkeuksille |
| Sovellusalusta | Organisaatio | ✅ Kaikki toiminnalliset käyttöoikeudet myönnetään käyttöoikeusjoukkojen ja käyttöoikeusjoukkoryhmien kautta (ei profiileja), mikä tarjoaa joustavuutta työroolien muuttuessa |
| Sovellusalusta | Organisaatio | ✅ Transaktioiden suojauskäytännöt laajentavat valtuutusta reaaliaikaisella asiayhteyden arvioinnilla |
| Sovellusalusta | Organisaatio | ✅ Transaktioiden suojauskäytännöt havaitsevat ja estävät poikkeavia toimintatapoja (joukkodatan lataukset, jotka ylittävät kuviot, sisäänkirjautumiset odottamattomista maantieteellisistä alueista, käyttöoikeuksien muutokset muutosikkunoiden ulkopuolella) |
| Sovellusalusta | Organisaatio | ✅ IP-rajoitukset on määritetty erittäin luottamuksellisille toiminnoille tai tietojen käyttöoikeuksille |
| Sovellusalusta | Organisaatio | ✅ Jokaiselle integraatiolle on määritetty yksilöllinen Vain API -integrointikäyttäjä |
| Sovellusalusta | Apex | ✅ Kaikki koodit, jotka käyttävät dataa, käyttävät CRUD- ja FLS-metodeja käyttämällä WITH USER_MODE-, SYSTEM_MODE-avainsanoja tai Security.stripInaccessible()-metodeja |
| Sovellusalusta | Apex | ✅ SOQL-kyselyt, joita käytetään avainsanoilla WITH USER_MODE tai WITH SYSTEM_MODE erikseen liiketoimintavaatimusten perusteella |
| Sovellusalusta | Apex | ✅ DML-operaatiot käyttävät Security.stripInaccessible()-funktiota käyttöoikeuksien käyttöönottoa varten ennen insert/update/upsert-operaatioita |
| Sovellusalusta | Apex | ✅ Datakannan DML-lausekkeet esittävät käyttäjä- tai järjestelmätilan erikseen datatoiminnoille |
| Sovellusalusta | Apex | ✅ Tietokantaoperaatiot käyttävät stripInaccessible()-metodeja kyselyiden ja alikyselyiden tulosten suodattamiseen |
| Sovellusalusta | Apex | ✅ Jakoavainsanoja (jaon kanssa, ilman jakamista, perittyjä jakoja) käytetään asianmukaisesti liiketoiminnan tietoturvavaatimusten perusteella |
| Sovellusalusta | Suunnittelun standardit | ✅ Käyttöskenaariot parannettujen käyttöoikeuksien myöntämiseksi (Kaikkien tietojen muokkausoikeus, Kaikkien tietojen tarkasteluoikeus) on selkeästi dokumentoitu liiketoiminnan perusteluilla |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ⚡️ Roolihierarkia on syvempi kuin 5–7 tasoa, mikä parantaa suorituskykyä jakolaskutoimissa ja monimutkaisuuden vianmäärityksessä |
| Sovellusalusta | Organisaatio | ⚡️ Roolihierarkia myöntää laajan käyttöoikeuden ilman liiketoimintaperusteita |
| Sovellusalusta | Organisaatio | ⚡️ Profiilit kloonataan toistuvasti pienille käyttöoikeusvariaatioille, mikä luo kymmeniä profiileja, joilla on epätarkkoja eroja |
| Sovellusalusta | Organisaatio | ⚡️ Profiilit sisältävät käyttöoikeusjoukkoja metadatalle (joiden tulisi käyttää käyttöoikeusjoukkoja) |
| Sovellusalusta | Organisaatio | ⚡️ Transaktioiden suojauskäytäntöjä ei oteta käyttöön poikkeavien toimintatapojen havaitsemiseksi |
| Sovellusalusta | Organisaatio | ⚡️ IP-rajoituksia ei ole määritetty erittäin luottamuksellisille toiminnoille tai tietojen käyttöoikeuksille |
| Sovellusalusta | Organisaatio | ⚡️ Vain API -käyttäjiä ei ole määritetty tai ne on jaettu useissa integraatioissa |
| Sovellusalusta | Organisaatio | ⚡️ Kaikkien tietojen tarkastelu- tai muokkausoikeudet myönnetään ilman dokumentoitua perustelua |
| Sovellusalusta | Apex | ⚡️ SOQL/SOSL-kyselyt ja DML-operaatiot suoritetaan oletusarvoisessa järjestelmätilassa ilman suoria käyttöoikeustarkistuksia |
| Sovellusalusta | Apex | ⚡️ CRUD- ja FLS-vaatimusten noudattaminen ei ole yhdenmukaista tai puuttuu |
| Sovellusalusta | Apex | ⚡️ SOQL luottaa tietueeseen WITH SECURITY_ENFORCED, joka on poistettu ja joka aiheuttaa nyt kompilointivirheen (korvaa tietueella WITH USER_MODE) |
| Sovellusalusta | Apex | ⚡️ Jakoavainsanoja käytetään epäjohdonmukaisesti tai ei ollenkaan |
| Sovellusalusta | Suunnittelun standardit | ⚡️ Korotettujen käyttöoikeuksien käyttötarkoituksia ei ole selkeästi dokumentoitu |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Sovellusalusta | Data 360 | ✅ RBAC (roolit, profiilit, käyttöoikeusjoukot) hallitsee sovellusalustan käyttöoikeuksia (kuka voi käyttää Data 360:a), ABAC hallitsee tietojen käyttöoikeuksia (mitä tietoja he näkevät attribuuttien perusteella) |
| Sovellusalusta | Data 360 | ✅ AI-agentit suoritetaan pyytävän käyttäjän asiayhteydessä (niiden puolesta), joten agenttien luomat kyselyt on rajoitettu kyseisen käyttäjän käyttöoikeudella, eikä järjestelmätason käyttöoikeudella |
| Sovellusalusta | Dokumentaatio | ✅ Datan luokittelun taksonomia on dokumentoitu attribuuttien määritelmillä, täytäntöönpanosäännöillä ja liiketoiminnan perustelulla |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Sovellusalusta | Data 360 | ⚡️ Käyttöoikeus, jonka täytyy noudattaa datan luokittelua, pakotetaan roolihierarkian ja jakamisen kautta, jotka eivät voi ilmaista sitä, sen sijaan, että käytettäisiin attribuutteihin perustuvaa käyttöoikeuksien hallintaa |
| Sovellusalusta | Data 360 | ⚡️ FLS-välitys: käyttäjät, joilla ei ole kenttätason käyttöoikeutta, hakevat dataa API- tai SOQL-kyselyiden kautta, jotka eivät noudata FLS:ää |
| Sovellusalusta | Data 360 | ⚡️ AI-agentit kyselevät dataa suorittamatta sitä pyytävän käyttäjän asiayhteydessä. Agenttien luomat kyselyt ohittavat objektien, kenttien ja tietueiden käyttöoikeusasetukset |
| Sovellusalusta | Data 360 | Agenttien suorituksen konteksti ei sisällä käyttäjän puolesta -attribuutteja. Agentit käyttävät järjestelmätason käyttöoikeuksia |
| Sovellusalusta | Dokumentaatio | ⚡️ Datan luokittelun taksonomia on asiattomasti dokumentoitu, attribuuttien määritelmät vaihtelevat tiimin mukaan, joka luo epäjohdonmukaisen käyttöönoton |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ✅ Kriittiset vaikutustilit (järjestelmän pääkäyttäjät, integraatiokäyttäjät, automatisoidut prosessitilit) tunnistetaan ja seurataan omaisuuksien inventaariossa |
| Sovellusalusta | Organisaatio | ✅ Kriittinen vaikutus -tilit edustavat arvokkaita tavoitteita laajennetun sovellusalustan käyttöoikeuksien ansiosta |
| Sovellusalusta | Organisaatio | ✅ Laitteistoturva-avaimet tai todennussovellukset vaaditaan MFA:lle (ei SMS-tekstiviesteille, joka on haavoittuvainen SIM-vaihdolle) |
| Sovellusalusta | Organisaatio | ✅ Kirjautumisen IP-osoitealueet on rajoitettu tunnettuihin pääkäyttäjäsijainteihin |
| Sovellusalusta | Organisaatio | ✅ Kirjautumishälytykset ja käyttöoikeuksien muutosten ilmoitukset ovat käytössä |
| Sovellusalusta | Organisaatio | ✅ Käyttöoikeustarkistukset suoritetaan neljännesvuosittain dokumentoidulla todennuksella |
| Sovellusalusta | Organisaatio | ✅ Käyttöönoton jälkeiset tarkastukset koskevat hätätoimenpiteitä |
| Integraatio | Palvelutilit | ✅ OAuth-kulkuja käytetään integraatio- ja palvelutileille (ei koskaan käyttäjänimi/salasana) |
| Integraatio | Palvelutilit | ✅ IP-rajoituksia sovelletaan integraatiokäyttäjille |
| Integraatio | Palvelutilit | ✅ Credential Rotation Schedules (vuosineljännesvuosittain tai per käytäntö) |
| Integraatio | Palvelutilit | ✅ Poikkeavia API-käyttökuvioita seurataan Event Monitoringin kautta |
| Integraatio | Palvelutilit | ✅ Jokaisella integraatiolla on oma palvelutilinsä, jolla on vähintään tarvittavat käyttöoikeudet (ei jaettua ”integrointikäyttäjää”, jolla on laaja käyttöoikeus) |
| Integraatio | Palvelutilit | ✅ Palvelutilit käyttävät vähiten käyttöoikeuksia tarkasti, koska ne toimivat valvomatta |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ⚡️ Kriittisten vaikutusten tilejä (pääkäyttäjä, integraatio, automatisointi) ei tunnisteta, seurata tai inventaarioida |
| Sovellusalusta | Organisaatio | ⚡️ Järjestelmän pääkäyttäjät käyttävät SMS-tekstiviesteihin perustuvaa MFA-todennusta laitteiston suojausavaimien tai todennussovellusten sijaan |
| Sovellusalusta | Organisaatio | ⚡️ Kriittisten vaikutusten tileillä ei ole kirjautumisaikojen tai IP-rajoituksia |
| Sovellusalusta | Organisaatio | ⚡️ Etuoikeutettujen tilien sisäänkirjautumiselle tai käyttöoikeuksien muutoksille ei ole määritetty hälytyksiä |
| Sovellusalusta | Organisaatio | ⚡️ Kriittisen vaikutuksen tilien käyttöoikeuksia ei koskaan tarkasteta tai tarkasteta epäsäännöllisesti (ei neljännesvuosittain) |
| Sovellusalusta | Organisaatio | ⚡️ Hätätilanteessa käytössä ei ole katkoviivoja |
| Integraatio | Palvelutilit | ⚡️ Yksi ”API-käyttäjä” -tili jaetaan useille integraatioille kaikkien tietojen muokkausoikeudella |
| Integraatio | Palvelutilit | ⚡️ Palvelutilit käyttävät käyttäjänimi/salasana-todennusta, kun OAuth on käytettävissä |
| Integraatio | Palvelutilit | ⚡️ Palvelutilien tunnukset käyttävät staattisia salasanoja, joita ei ole muutettu vuosia (ei kierrätä) |
| Integraatio | Palvelutilit | ⚡️ Palvelutileillä on liialliset käyttöoikeudet kuin mitä integraatio vaatii |
| Integraatio | Palvelutilit | ⚡️ Palvelutilien poikkeavia API-käyttökuvioita ei valvota |
Kuvio
| Mistä etsiä | Miltä hyvä näyttää |
|---|---|
| Sovellusalusta | Prosessi | ✅ Identiteetin elinkaariin sisältyy: Provisiointi (luo peruskäyttöoikeudella), Käyttöoikeuksien säätö (hyväksytä/poista, kun roolit muuttuvat), Säännöllinen uudelleensertifiointi (vuosineljännesvuosittainen vahvistus), Deprovisiointi (välitön peruutus) |
| Sovellusalusta | Organisaatio | ✅ SCIM (System for Cross-Domain Identity Management) on otettu käyttöön henkilöllisyydentarjoajilta saatuun automatisoituun provisiointiin |
| Sovellusalusta | Prosessi | ✅ Provisiointi luo tilejä, joiden peruskäyttöoikeus vastaa työtehtäviä, jotka on käynnistetty HR-järjestelmätapahtumien perusteella |
| Sovellusalusta | Prosessi | ✅ Käyttöoikeuksien säätö myöntää ylimääräisiä käyttöoikeuksia, kun roolit laajennetaan, ja mitätöi käyttöoikeudet, kun roolit muuttuvat |
| Sovellusalusta | Prosessi | ✅ Säännöllinen uudelleensertifiointi tapahtuu neljännesvuosittain, jolloin esimiehet tarkastavat ja vahvistavat tiiminsä käyttöoikeudet |
| Sovellusalusta | Prosessi | ✅ Poistaminen mitätöi käyttöoikeuden välittömästi, kun työ päättyy tai rooli ei enää vaadi Salesforcea |
| Sovellusalusta | Organisaatio | ✅ Automatisoitu tunnistus tunnistaa käyttäjät, jotka eivät ole kirjautuneet sisään 90 päivän kuluessa ja käynnistää käyttöoikeustarkastuksen työnkulut |
| Sovellusalusta | Organisaatio | ✅ Just-in-Time (JIT) -provisiointi luo käyttäjiä automaattisesti SSO-kertakirjautumisesta tarvittaessa |
Anti-Mallit
| Mistä etsiä | Miltä huono näyttää |
|---|---|
| Sovellusalusta | Organisaatio | ⚡️ SCIM-provisiointia ei oteta käyttöön, vaikka henkilöllisyydentarjoajan integrointi on käytössä |
| Sovellusalusta | Prosessi | ⚡️ Uudet käyttäjät luodaan manuaalisesti ilman perehdytysmenetelmiä |
| Sovellusalusta | Prosessi | ⚡️ Käyttäjän alustava käyttöoikeus ei ole yhdenmukainen tai perustuu olemassa olevien käyttäjien kopioimiseen |
| Sovellusalusta | Prosessi | ⚡️ Roolien muutosten tai siirtojen käyttöoikeuksien muutokset ovat viiveitä tai keskeneräisiä |
| Sovellusalusta | Prosessi | ⚡️ Offboarding viivästyy, entiset työntekijät säilyttävät käyttöoikeuden lopettamisen jälkeen (ei samana päivänä kumottua aktivointia) |
| Sovellusalusta | Organisaatio | ⚡️ Käyttäjien provisioinnille ei ole automatisointia (vain käyttäjien manuaalinen luonti) |
| Sovellusalusta | Prosessi | ⚡️ Käyttöoikeuksien uudelleensertifiointikampanjoita ei ole (ei neljännesvuosittaista tai vuosittaista tarkastusta) |
| Sovellusalusta | Prosessi | ⚡️ Uudelleensertifioinnin aikana tunnistettuja tarpeettomia käyttöoikeuksia ei poisteta |
| Sovellusalusta | Prosessi | ⚡️ Käyttöoikeuksien uudelleensertifiointi ei ole tarkkaa etuoikeutetuille tileille, organisaatioiden välisille käyttöoikeuksille tai ulkoisille käyttäjille |
| Sovellusalusta | Organisaatio | ⚡️ Pysäytetyt tilit (ei sisäänkirjautumista yli 90 päivään) kerääntyvät ilman tarkistusta tai deaktivointia |