Break Glass 临时授权访问权限凭证

小渣渣

需求：第一次听同事说到 Break Glass 系统，如果想查看生产数据库的数据，需要从 Break Glass 系统获取临时访问的凭证，通过临时凭证可以查看生产库的数据，通常，临时权限比较小，只会提供能够完成任务的最低权限，简单来说，就是按需分配，尽可能不会给多余的权限，例如：访问生产数据库只有只读权限，甚至只对某些表具有只读权限。



Break Glass（因打破玻璃以拉动火警而得名）是指没有访问权限的人在必要时获得访问权限的快速手段。包含用于治疗的主要源数据（信息）的系统必须开发、记录、实施和测试在紧急情况下需要访问 ePHI 时使用的碎玻璃程序。这些系统必须有一个明确说明和广泛理解的程序，以允许通过替代和/或手动方法进行访问。

在计算中，“Break Glass”是检查系统帐户密码以绕过关键紧急情况的正常访问控制程序的行为。这使用户可以立即访问他们通常无权访问的帐户。此方法通常用于最高级别的系统帐户，例如 Unix 的 root 帐户或数据库的 SYS/SA。这些帐户具有很高的特权，并且打破玻璃通过密码持续时间限制它们，目的是控制帐户的使用并将其减少到完成特定任务绝对必要的使用。

Break glass 是在特殊情况下扩展个人访问权限的一种快速方法，仅应在正常流程不足时使用（例如，帮助台或系统管理员不可用）。可能需要“Break Glass”紧急访问的情况示例是帐户、身份验证和授权问题。在许多公司中，存在一些关键任务——在特殊情况下——必须由通常不允许执行这些任务的人执行。例如，初级医师将能够在紧急情况下执行高级医师的某些任务。

打破玻璃解决方案基于预先安排的紧急用户帐户，以一种可以使它们快速可用而不会出现不合理的管理延迟的方式进行管理和分发。碎玻璃帐户和分发程序应作为实施的一部分进行记录和测试，并仔细管理以在需要时提供及时访问。

最佳做法是将预先安排的紧急帐户置于个人的责任之下，例如紧急帐户经理，他将在工作时间内随时可用，并且了解紧急帐户的敏感性和优先级。此人将使用注销方法分发帐户，要求请求者提供可接受的身份证明形式，并在帐户可用之前记录下来。

在使用紧急账户时，必须对其进行仔细监控，并定期进行审计。此外，系统应在激活紧急帐户时提醒安全管理员。管理员将确保帐户在完成后正确关闭并建立新帐户。

参考文章

https://hipaa.yale.edu/security/break-glass-procedure-granting-emergency-access-critical-ephi-systems
https://www.beyondtrust.com/blog/entry/provide-security-privileged-accounts-with-break-glass-process

小渣渣

CyberArk特权账户安全解决方案中的每款产品均相互独立并可单独管理，同时却又共享相同基础结构的资源和数据。这些产品共同组成了一个完整、安全的解决方案。