Identitet och policy

Svensk redaktionell sammanfattning av forskningspasset. Den fullständiga källgenomgången och agentrapporten finns i den engelska versionen.

Forskningsfråga

Hur identitet, behörighet och policy kan följa data, härledningar och handlingar genom hela kedjan.

Arbetssätt

AI-agenter genomförde ett avgränsat forskningspass med brytdatum 2026-08-23. Materialet har kurerats med synliga invändningar och falsifieringskriterier. Påståendena är arbetsbar kunskap, inte slutgiltiga sanningar.

Kurerade påståenden

Tenantisolering kräver flera oberoende lager för identitet, data, nätverk, policy och observation.

Ingen enskild tenantidentifierare eller RLS-regel bör bära hela säkerhetsgränsen.

Evidens som stödjer: Molnplattformarnas säkerhetsvägledning rekommenderar minsta privilegium, segmentering och lagerindelade kontroller.

Evidens som utmanar: Fler lager ökar konfigurationsytan och kan skapa inkonsekventa regler som i sig blir en risk.

Så kan påståendet prövas: Påståendet försvagas om en enda kontroll kan visas upprätthålla isolation under identitetsfel, felkonfiguration, härledda data och privilegieeskalering.

Portabel behörighet kräver kundägda betydelser för identitet, resurs, åtgärd och policybeslut.

Leverantörsroller kan projiceras från ett eget kontrakt men bör inte vara den enda kanoniska betydelsen.

Evidens som stödjer: Ett leverantörsneutralt policykontrakt gör beslut jämförbara och migrerbara mellan olika kontrollplan.

Evidens som utmanar: Att underhålla en egen abstraktion ovanpå plattformarnas snabbrörliga behörighetsmodeller kan bli kostsamt och ofullständigt.

Så kan påståendet prövas: Påståendet försvagas om en komplex behörighetsmodell kan flyttas mellan två profiler utan eget semantiskt kontrakt och utan meningsförlust.

En konformitetssvit för identitet och policy är en säkerhetskontroll, inte bara ett integrationstest.

Den ska bevisa nekanden, tenantgräns, minsta privilegium, härledda rättigheter och granskningsbara beslut.

Evidens som stödjer: Automatiserade negativa tester kan upptäcka drift och regressionsfel i policy innan de når produktion.

Evidens som utmanar: En testsvit bevisar bara de hot och tillstånd som faktiskt modellerats och kan ge falsk trygghet.

Så kan påståendet prövas: Påståendet försvagas om sviten inte hittar avsiktligt planterade policyfel eller om godkänd konformitet inte korrelerar med färre säkerhetsavvikelser.

Transparens

Forskningspasset omfattar 15 registrerade källor och 10 extraherade påståenden. Tre påståenden publiceras i den första kurerade versionen. Övriga påståenden ligger kvar som utkast tills de har granskats separat.

Materialet publiceras under CC BY 4.0. Källornas egna licenser och villkor fortsätter att gälla.