細(xì)粒度授權(quán)下的權(quán)限合規(guī)

• 缺少統(tǒng)一集中的權(quán)限合規(guī)策略，業(yè)務(wù)系統(tǒng)在運(yùn)營(yíng)過程中，無法有效的進(jìn)行風(fēng)險(xiǎn)管理和風(fēng)險(xiǎn)監(jiān)督；

• 無法滿足對(duì)企業(yè)合規(guī)審計(jì)管理要求，導(dǎo)致企業(yè)安全管控要求不達(dá)標(biāo)；

• 業(yè)務(wù)安全和合規(guī)安全兩個(gè)方面，最小化授權(quán)的原則無法充分體現(xiàn)和控制；

• 核心與機(jī)密業(yè)務(wù)權(quán)限過大和失控，數(shù)據(jù)泄露的風(fēng)險(xiǎn)隱患巨大；

• 權(quán)限合規(guī)管理制度與流程體現(xiàn)不健全，無法做到 IT 運(yùn)營(yíng)的強(qiáng)有力的保障。

建立權(quán)限合規(guī)管理服務(wù)中心是企業(yè)進(jìn)行權(quán)限合規(guī)檢查、違規(guī)權(quán)限排查和合規(guī)審計(jì)追溯的技術(shù)手段，企業(yè)權(quán)限管理中心通過權(quán)責(zé)互斥矩陣和權(quán)限業(yè)務(wù)互斥規(guī)則，依據(jù)企業(yè)審計(jì)要求和內(nèi)控制度，幫助用戶分析發(fā)現(xiàn)權(quán)限管理中潛在的風(fēng)險(xiǎn)，快速有效的進(jìn)行權(quán)限合規(guī)檢查及風(fēng)險(xiǎn)識(shí)別，通過內(nèi)置可配的合規(guī)模型進(jìn)行應(yīng)用權(quán)限的管理及日常維護(hù)，對(duì)例外權(quán)限進(jìn)行補(bǔ)償控制，規(guī)避權(quán)限管理風(fēng)險(xiǎn)。

針對(duì)用戶進(jìn)行權(quán)限互斥，通常包括角色、業(yè)務(wù)和管理互斥，不合格的權(quán)限允許但有預(yù)警，一旦發(fā)生互斥，其權(quán)限不能被授予。

SOD職責(zé)分離：基于角色的訪問控制中通過實(shí)現(xiàn)不同的職責(zé)分離原則來達(dá)到不同的安全策略。在RBAC模型中，利用角色沖突實(shí)現(xiàn)職責(zé)分離，包括靜態(tài)職責(zé)分離、動(dòng)態(tài)職責(zé)分離、操作職責(zé)分離、歷史職責(zé)分離。角色沖突的程度與權(quán)限沖突有一定的關(guān)系，權(quán)限在角色之間共享的程度影響角色沖突的程度，由此可以實(shí)現(xiàn)權(quán)責(zé)分離的合規(guī)互斥和業(yè)務(wù)安全狀態(tài)監(jiān)管。

業(yè)務(wù)合規(guī)模型：根據(jù)企業(yè)業(yè)務(wù)管理特性具備的合理權(quán)限與詳細(xì)要求，如企業(yè)中的出納和會(huì)計(jì)需要設(shè)置不同的崗位，核心采購(gòu)崗位與費(fèi)用中心崗位需要進(jìn)行嚴(yán)格的業(yè)務(wù)要求。

• 通過合規(guī)審計(jì)能力，快速有效實(shí)現(xiàn)權(quán)限合規(guī)檢查及風(fēng)險(xiǎn)識(shí)別審計(jì)；

• 落實(shí)符合企業(yè)信息安全合規(guī)要求，實(shí)現(xiàn)企業(yè)的風(fēng)險(xiǎn)管控要求與指標(biāo)；

• 基于合規(guī)要求，建立權(quán)限合規(guī)審查與流程機(jī)制，形成安全體系架構(gòu)；

• 通過實(shí)現(xiàn)權(quán)限合規(guī)深度能力，幫助企業(yè)實(shí)現(xiàn)和推動(dòng)數(shù)字化轉(zhuǎn)型。