Access control metricsПоказатели контроля доступа
An access dashboard is useful when it exposes a specific account that needs a decision. A green average cannot compensate for one former employee who still has authority to change business records.Панель доступа полезна, когда показывает конкретную учётную запись, по которой нужно решение. Хороший средний показатель не компенсирует доступ бывшего сотрудника к изменению рабочих данных.
The business questionРабочий вопрос
Take a dated snapshot of active accounts and reconcile it to the approved staff and contractor roster. Review privileged accounts separately. Use the agreed access-removal deadline after a role change or departure; distinguish requested removal from verified removal.Снимите датированный список активных записей и сверьте с утверждённым составом сотрудников и подрядчиков. Привилегированные записи проверяйте отдельно. Используйте согласованный срок отключения после смены роли или ухода; различайте заявку и подтверждённое отключение.
Metric definitions and scopeОпределения и состав показателей
Overdue leaver accessПросроченное отключение
Departed people whose access remains active past the removal deadline, counted at the snapshot. Show the account, system and deadline; do not dilute a critical case inside a workforce-wide percentage.Ушедшие сотрудники с активным доступом после срока отключения на момент снимка. Показывайте запись, систему и срок; критичный случай не должен растворяться в проценте по всему штату.
Privileged review coverageПолнота пересмотра привилегий
Active privileged accounts reviewed and decided in the current review cycle ÷ all active privileged accounts in scope. An opened review with no decision does not count as complete.Активные привилегированные записи с проверкой и решением в текущем цикле ÷ все такие записи в области проверки. Начатая проверка без решения не считается завершённой.
Unattributable operating accountsНеатрибутируемые рабочие записи
Active shared or ownerless operating accounts, listed by system. Separate documented service accounts with a technical owner from human accounts that several people share.Активные общие или бесхозные рабочие записи по системам. Отделяйте документированные сервисные записи с техническим владельцем от личных записей, которыми пользуются несколько человек.
A worked exampleПример расчёта
Illustrative cycle: 18 of 20 privileged accounts have a recorded review decision, giving 90% coverage. The remaining two stay visible with their reviewer and due date. This score does not prove that permissions are appropriate or that no security incident occurred.Условный цикл: по 18 из 20 привилегированных записей есть решение, полнота пересмотра 90%. Две оставшиеся видны с проверяющим и сроком. Этот показатель не доказывает правильность прав или отсутствие инцидента.
If a departed employee has been removed from one application but still has access through another identity, the case remains open. Verify the relevant entry points and sessions using the actual capabilities of each system.Если бывшего сотрудника отключили в одном приложении, но доступ сохранился через другую учётную запись, случай остаётся открытым. Проверяйте соответствующие способы входа и сеансы с учётом реальных возможностей каждой системы.
Exceptions that change the readingИсключения, меняющие вывод
An emergency account may be intentionally retained. Record its owner, purpose, review date and usage controls instead of hiding it from the inventory. Never include passwords or access tokens in the dashboard or an exported review file.Аварийную учётную запись могут сохранять намеренно. Зафиксируйте владельца, назначение, дату пересмотра и контроль использования, не скрывая её из списка. Пароли и токены не должны попадать на панель или в выгрузку проверки.
Owner and operational decisionОтветственный и решение
The access administrator implements approved changes; the business owner confirms required duties and an independent reviewer verifies sensitive removals where feasible. Restrict report access to people who need account-level details.Администратор доступа выполняет согласованные изменения; бизнес-владелец подтверждает необходимые обязанности, а независимый проверяющий по возможности проверяет важные отключения. Детали учётных записей доступны только тем, кому они нужны для работы.
Acceptance checksПроверки приёмки
- A leaver remains open until the relevant action is actually denied.Уход сотрудника остаётся открытым, пока нужное действие действительно не запрещено.
- A role change removes unnecessary privileges and preserves approved work.Смена роли убирает лишние полномочия и сохраняет согласованную работу.
- The review export contains no passwords, tokens or secret values.В выгрузке проверки нет паролей, токенов и секретных значений.
Map the workflow to SABSUSСопоставьте процесс с SABSUS
Check SABSUS role scope, account records and available audit evidence in the chosen configuration. Do not assume automated offboarding, session revocation or identity-provider integration without verifying them.Проверьте область действия ролей SABSUS, записи пользователей и доступные подтверждения аудита в выбранной конфигурации. Автоматическое отключение, отзыв сеансов и интеграцию с провайдером идентификации нужно подтверждать отдельно.
Quick answersКороткие ответы
Does 100% review coverage mean secure access?100% проверок означает безопасный доступ?
No. Coverage records completion; the quality of each access decision still matters.Нет. Полнота показывает завершение проверок, но важно качество каждого решения.
Can a removal request close the case?Заявка на отключение закрывает случай?
No. Close it after verifying that the relevant access was removed.Нет. Закрывайте после подтверждения, что нужный доступ отключён.
Should the dashboard contain credentials?Нужны ли пароли на панели?
No. Use account identifiers and evidence references, never secret values.Нет. Используйте идентификаторы записей и ссылки на подтверждения, без секретов.