細(xì)粒度授權(quán)下的權(quán)限合規(guī)

• 缺少統(tǒng)一集中的權(quán)限合規(guī)策略，業(yè)務(wù)系統(tǒng)在運(yùn)營過程中，無法有效的進(jìn)行風(fēng)險管理和風(fēng)險監(jiān)督；

• 無法滿足對企業(yè)合規(guī)審計管理要求，導(dǎo)致企業(yè)安全管控要求不達(dá)標(biāo)；

• 業(yè)務(wù)安全和合規(guī)安全兩個方面，最小化授權(quán)的原則無法充分體現(xiàn)和控制；

• 核心與機(jī)密業(yè)務(wù)權(quán)限過大和失控，數(shù)據(jù)泄露的風(fēng)險隱患巨大；

• 權(quán)限合規(guī)管理制度與流程體現(xiàn)不健全，無法做到 IT 運(yùn)營的強(qiáng)有力的保障。

建立權(quán)限合規(guī)管理服務(wù)中心是企業(yè)進(jìn)行權(quán)限合規(guī)檢查、違規(guī)權(quán)限排查和合規(guī)審計追溯的技術(shù)手段，企業(yè)權(quán)限管理中心通過權(quán)責(zé)互斥矩陣和權(quán)限業(yè)務(wù)互斥規(guī)則，依據(jù)企業(yè)審計要求和內(nèi)控制度，幫助用戶分析發(fā)現(xiàn)權(quán)限管理中潛在的風(fēng)險，快速有效的進(jìn)行權(quán)限合規(guī)檢查及風(fēng)險識別，通過內(nèi)置可配的合規(guī)模型進(jìn)行應(yīng)用權(quán)限的管理及日常維護(hù)，對例外權(quán)限進(jìn)行補(bǔ)償控制，規(guī)避權(quán)限管理風(fēng)險。

針對用戶進(jìn)行權(quán)限互斥，通常包括角色、業(yè)務(wù)和管理互斥，不合格的權(quán)限允許但有預(yù)警，一旦發(fā)生互斥，其權(quán)限不能被授予。

SOD職責(zé)分離：基于角色的訪問控制中通過實現(xiàn)不同的職責(zé)分離原則來達(dá)到不同的安全策略。在RBAC模型中，利用角色沖突實現(xiàn)職責(zé)分離，包括靜態(tài)職責(zé)分離、動態(tài)職責(zé)分離、操作職責(zé)分離、歷史職責(zé)分離。角色沖突的程度與權(quán)限沖突有一定的關(guān)系，權(quán)限在角色之間共享的程度影響角色沖突的程度，由此可以實現(xiàn)權(quán)責(zé)分離的合規(guī)互斥和業(yè)務(wù)安全狀態(tài)監(jiān)管。

業(yè)務(wù)合規(guī)模型：根據(jù)企業(yè)業(yè)務(wù)管理特性具備的合理權(quán)限與詳細(xì)要求，如企業(yè)中的出納和會計需要設(shè)置不同的崗位，核心采購崗位與費(fèi)用中心崗位需要進(jìn)行嚴(yán)格的業(yè)務(wù)要求。

• 通過合規(guī)審計能力，快速有效實現(xiàn)權(quán)限合規(guī)檢查及風(fēng)險識別審計；

• 落實符合企業(yè)信息安全合規(guī)要求，實現(xiàn)企業(yè)的風(fēng)險管控要求與指標(biāo)；

• 基于合規(guī)要求，建立權(quán)限合規(guī)審查與流程機(jī)制，形成安全體系架構(gòu)；

• 通過實現(xiàn)權(quán)限合規(guī)深度能力，幫助企業(yè)實現(xiàn)和推動數(shù)字化轉(zhuǎn)型。