基于角色的訪問控制可以極大增加企業網絡的安全性，尤其可以有效地對付內部的非法入侵和資源使用。由于害怕其漫長而復雜的實施過程，并且會對工作效率帶來負作用，所以很多公司往往不愿意實施基于角色的訪問控制。其實，企業可以采用幾種方法來確?；诮巧脑L問控制的安全性，同時又不會給雇員的工作效率帶來消極影響。
企業往往重視最常見的入侵類型，即入侵者從網絡外部訪問公司的安全數據。另一種入侵是由企業的雇員在公司內部實施的攻擊，其發生的頻率往往超過企業的預期。而且，內部危害的發生更容易，企業應當采取積極的措施來減輕這種危害。
訪問權問題
大規模入侵也許更引人注目，但小規模的內部“入侵”卻每時每刻都在發生。為什么?通常，雇員工作時就得到了特定的授權。在多數情況下，在雇員從事相同的工作時即獲得相同的權利，這種用戶稱為模板用戶。在新雇員從模板用戶復制權利時，有時會無意中獲得過多權利，因為模板用戶有可能擁有其它的訪問權。另一個常見的問題是，雇員們有時相互借用訪問權。例如，一個雇員打算休假，但需要在外出時完成一些工作。這種雇員往往會將其憑據借給其它雇員，在日后卻沒有撤消這種訪問權。
此外，企業往往并不知道雇員獲得的這些不恰當的訪問權，因而就不能輕松地解決此問題。企業并不清楚哪些用戶擁有哪些授權，并且不太可能對訪問權進行調查或審計。IT部門通常或多或少地知道，誰擁有和需要哪些權利，但由于時間的限制，IT部門只是增加權利，一般并不能撤銷權利。IT部門并不能輕松地知道到底哪些人可以訪問安全應用，所以也就無法知道網絡中是否存在安全風險。
最后一個常見的安全問題是，企業并沒有在網絡中禁用前雇員。在雇員離開公司時，很多公司并沒有撤銷其訪問權。這通常是由于管理員必須進入每個系統，并且需要人工禁用用戶。這是一個重大的安全問題，特別是如果離職的雇員對公司不滿，問題和風險就更大。
基于角色的訪問控制
如何確保內部人員不會帶來危害呢?企業可以使用身份和訪問管理方案來幫助更好地理解其面臨的安全問題，確保未來不會發生問題。其中的一種方法就是基于角色的訪問控制系統。
基于角色的訪問控制可以根據雇員在企業中的工作、角色、位置等來分配授權。企業不妨建立一個授權矩陣，其中可以詳細記錄雇員應有哪些應用程序和系統的哪些權利。在雇員被雇傭時，他就進入了人力資源系統，具有身份管理系統提供的功能和為其創建的網絡賬戶。身份管理軟件可以讀取此雇員的授權矩陣，確切地知道將哪些授權分配給此賬戶?；诮巧挠脩粼L問可以確保雇員從一開始就得到適當的而不是過多的權利。
基于角色的訪問控制還可以帶來其它好處。例如，它還可以確保安全系統和應用的正常使用，確保雇員在被雇傭期間不會積累過多的權利。通過身份和訪問管理方案，企業可以生成報告，闡明哪些人可以訪問哪個安全系統及其做出的更改。如果在這些訪問權利中存在錯誤，企業就可以輕松地清除這些訪問權。
監視訪問權的另一種方法是借助認證或驗證模塊。這種模塊可以定期或實時地掃描網絡和應用，對照基于角色的訪問控制矩陣來檢查當前的訪問權利。驗證公司網絡上的所有訪問是否正常。如果出現任何不同點，認證或驗證模塊就會提醒管理員和系統所有者進行審查。如果這個不同點得到了認可，就會得到一個電子簽名來確認這個事實，其中還可能要有這個不同權利的終止日期。如果發現此權利未被授權，工作流程就會自動監管這個權利的清除，并通過電子郵件通知有關各方。
為確保雇員的訪問權在其離職后能被清除，企業不妨使用自動賬戶管理系統。自動方案可以使源系統中的任何變化都會在所有連接的系統和應用中反映出來。例如，在雇員離開企業時，管理員只需一個單擊操作就可以輕松地在源系統中禁用雇員的賬戶。
實施基于角色的訪問控制
許多企業往往不愿意實施基于角色的訪問控制。因為企業擔心冗長而復雜的實施過程，并且由于雇員訪問權要發生變化，也會對工作效率帶來副作用。完成基于角色的矩陣可能是一個需要花費企業幾年時間的復雜過程。
有一些新方法可以縮短這個過程，并當即帶來好處。企業可以采用人力資源系統作為數據源，收集所有雇員的部門、職位、位置以及企業的層次結構等信息，并將這些信息用于創建每個訪問級別的角色。下一步就是從活動目錄等位置獲得當前的權利，以及與不同角色的雇員有關的數據共享。
下一步，使數據標準化，確保相同角色的雇員擁有相同的訪問權?？梢酝ㄟ^從人力資源和活動目錄、修正報告以及雇員的管理者那里收集數據，用于檢查和糾正?；诮巧脑L問控制應用與身份管理系統結合使用，可以實施管理員在自動模式中做出的變化。此過程可以在包含敏感信息的企業網絡的其它應用中多次反復實施，確保訪問權的正確性。
這些數據還可以作為定期檢查的基礎。如果企業對雇員的訪問權進行了修改，例如，針對一個臨時性的項目或任務修改了雇員的訪問權，就可以自動生成一份電子郵件發送給管理員進行檢查或糾正。通過利用上述步驟，企業就可以用幾周而不是用幾年時間實施基于角色的訪問控制矩陣。
保證雇員的效率
企業害怕的另一個問題是工作效率問題。實施基于角色的訪問控制可能意味著雇員的訪問權和對機器的控制權更少了。這可能意味著雇員需要得到允許才能做出變更、下載或訪問其它資源，從而導致效率問題。避免此問題的辦法之就是在每個部門中指派一個擁有高級訪問權的團隊領導，例如每個部門的經理或經理指定的某人。雇員需要在變更計算機時，或是需要額外的訪問權時，就不必每次都請求IT，而是由直屬經理或指定的人員進行處理。
雖然上述措施可以減少效率問題，但對于一個大型企業來說，其部門規模也較大，角色的訪問控制仍是不小的負擔。解決此問題的另一個更高級的方法是，使用工作流程管理方案。工作流程管理是一種可控的自動化過程，它有預定的任務序列，可以代替多人才能實施的手工過程，從而通過一種簡化而高效的過程處理雇員請求。
因而，如果雇員需要請求訪問某個項目的某個應用，就可以直接訪問Web入口，請求所需要的任何資源(應用、計算機、郵箱、通訊錄等)。然后，企業建立一個工作流程，將用戶請求傳遞給預先確定的可以檢查和準許此請求的人員。從而使任何訪問權的變更成為一個簡單而安全的過程，并可以確保其一致性和連續性，而且在此過程中也不會誤傳或丟失。此外，這個方法還可以保證合適的人員得到適當的許可，從而使終端用戶也無法訪問受限資源。
基于角色的訪問控制與工作流程管理結合起來可以給企業帶來巨大的作用。這兩種方案協同工作可以確保企業網絡的安全性，且不會影響到雇員效率。
京公網安備 11010502049343號