Privileged access
GeimplementeerdIB-coördinator
Beheerderstoegang tot productie en bedrijfssystemen is beperkt tot een klein aantal medewerkers.
Wat we doen
Section titled “Wat we doen”- Toegang tot productie (GCP-projecten, Kubernetes-clusters, databases) is beperkt tot het DevOps-team.
- Privileged access bestaat uit IAM-rollen op het GCP-project en Kubernetes RBAC. Er zijn geen SSH-sleutels en geen root/sudo-beheer: er is geen SSH op servers. Shell-toegang tot pods loopt via
kubectl exec, geautoriseerd via Google Cloud IAM. - Persoonlijke accounts met least-privilege; geen gedeelde owner-accounts voor dagelijks gebruik.
- MFA op Google Workspace (en daarmee GCP) en op organisatieniveau in GitHub; de GitHub-instelling wordt bij de jaarlijkse autorisatiereview (C.07) gecontroleerd.
- GitHub-organisatiebeheer is de verantwoordelijkheid van de DevOps Lead; Google Workspace-beheer van de directie.
- Beheeracties worden vastgelegd in Cloud Audit Logs (zie 8.15).
- Privileged access wordt meegenomen in de autorisatiereview (zie 5.18).
Geen bekende gaps.
Bewijs
Section titled “Bewijs”- GCP IAM-rollen per project en Kubernetes RBAC (GCP-console)
- GitHub organisatie-instellingen (owners)
- Google Workspace-admin (beheerdersrollen)
- Cloud Audit Logs (GCP-console)