基于角色的訪問(wèn)控制可以極大增加企業(yè)網(wǎng)絡(luò)的安全性，尤其可以有效地對(duì)付內(nèi)部的非法入侵和資源使用。由于害怕其漫長(zhǎng)而復(fù)雜的實(shí)施過(guò)程，并且會(huì)對(duì)工作效率帶來(lái)負(fù)作用，所以很多公司往往不愿意實(shí)施基于角色的訪問(wèn)控制。其實(shí)，企業(yè)可以采用幾種方法來(lái)確保基于角色的訪問(wèn)控制的安全性，同時(shí)又不會(huì)給雇員的工作效率帶來(lái)消極影響。

[[147318]]

企業(yè)往往重視最常見(jiàn)的入侵類(lèi)型，即入侵者從網(wǎng)絡(luò)外部訪問(wèn)公司的安全數(shù)據(jù)。另一種入侵是由企業(yè)的雇員在公司內(nèi)部實(shí)施的攻擊，其發(fā)生的頻率往往超過(guò)企業(yè)的預(yù)期。而且，內(nèi)部危害的發(fā)生更容易，企業(yè)應(yīng)當(dāng)采取積極的措施來(lái)減輕這種危害。

訪問(wèn)權(quán)問(wèn)題

大規(guī)模入侵也許更引人注目，但小規(guī)模的內(nèi)部“入侵”卻每時(shí)每刻都在發(fā)生。為什么?通常，雇員工作時(shí)就得到了特定的授權(quán)。在多數(shù)情況下，在雇員從事相同的工作時(shí)即獲得相同的權(quán)利，這種用戶(hù)稱(chēng)為模板用戶(hù)。在新雇員從模板用戶(hù)復(fù)制權(quán)利時(shí)，有時(shí)會(huì)無(wú)意中獲得過(guò)多權(quán)利，因?yàn)槟０逵脩?hù)有可能擁有其它的訪問(wèn)權(quán)。另一個(gè)常見(jiàn)的問(wèn)題是，雇員們有時(shí)相互借用訪問(wèn)權(quán)。例如，一個(gè)雇員打算休假，但需要在外出時(shí)完成一些工作。這種雇員往往會(huì)將其憑據(jù)借給其它雇員，在日后卻沒(méi)有撤消這種訪問(wèn)權(quán)。

此外，企業(yè)往往并不知道雇員獲得的這些不恰當(dāng)?shù)脑L問(wèn)權(quán)，因而就不能輕松地解決此問(wèn)題。企業(yè)并不清楚哪些用戶(hù)擁有哪些授權(quán)，并且不太可能對(duì)訪問(wèn)權(quán)進(jìn)行調(diào)查或?qū)徲?jì)。IT部門(mén)通常或多或少地知道，誰(shuí)擁有和需要哪些權(quán)利，但由于時(shí)間的限制，IT部門(mén)只是增加權(quán)利，一般并不能撤銷(xiāo)權(quán)利。IT部門(mén)并不能輕松地知道到底哪些人可以訪問(wèn)安全應(yīng)用，所以也就無(wú)法知道網(wǎng)絡(luò)中是否存在安全風(fēng)險(xiǎn)。

最后一個(gè)常見(jiàn)的安全問(wèn)題是，企業(yè)并沒(méi)有在網(wǎng)絡(luò)中禁用前雇員。在雇員離開(kāi)公司時(shí)，很多公司并沒(méi)有撤銷(xiāo)其訪問(wèn)權(quán)。這通常是由于管理員必須進(jìn)入每個(gè)系統(tǒng)，并且需要人工禁用用戶(hù)。這是一個(gè)重大的安全問(wèn)題，特別是如果離職的雇員對(duì)公司不滿(mǎn)，問(wèn)題和風(fēng)險(xiǎn)就更大。

基于角色的訪問(wèn)控制

如何確保內(nèi)部人員不會(huì)帶來(lái)危害呢?企業(yè)可以使用身份和訪問(wèn)管理方案來(lái)幫助更好地理解其面臨的安全問(wèn)題，確保未來(lái)不會(huì)發(fā)生問(wèn)題。其中的一種方法就是基于角色的訪問(wèn)控制系統(tǒng)。

基于角色的訪問(wèn)控制可以根據(jù)雇員在企業(yè)中的工作、角色、位置等來(lái)分配授權(quán)。企業(yè)不妨建立一個(gè)授權(quán)矩陣，其中可以詳細(xì)記錄雇員應(yīng)有哪些應(yīng)用程序和系統(tǒng)的哪些權(quán)利。在雇員被雇傭時(shí)，他就進(jìn)入了人力資源系統(tǒng)，具有身份管理系統(tǒng)提供的功能和為其創(chuàng)建的網(wǎng)絡(luò)賬戶(hù)。身份管理軟件可以讀取此雇員的授權(quán)矩陣，確切地知道將哪些授權(quán)分配給此賬戶(hù)。基于角色的用戶(hù)訪問(wèn)可以確保雇員從一開(kāi)始就得到適當(dāng)?shù)亩皇沁^(guò)多的權(quán)利。

基于角色的訪問(wèn)控制還可以帶來(lái)其它好處。例如，它還可以確保安全系統(tǒng)和應(yīng)用的正常使用，確保雇員在被雇傭期間不會(huì)積累過(guò)多的權(quán)利。通過(guò)身份和訪問(wèn)管理方案，企業(yè)可以生成報(bào)告，闡明哪些人可以訪問(wèn)哪個(gè)安全系統(tǒng)及其做出的更改。如果在這些訪問(wèn)權(quán)利中存在錯(cuò)誤，企業(yè)就可以輕松地清除這些訪問(wèn)權(quán)。

監(jiān)視訪問(wèn)權(quán)的另一種方法是借助認(rèn)證或驗(yàn)證模塊。這種模塊可以定期或?qū)崟r(shí)地掃描網(wǎng)絡(luò)和應(yīng)用，對(duì)照基于角色的訪問(wèn)控制矩陣來(lái)檢查當(dāng)前的訪問(wèn)權(quán)利。驗(yàn)證公司網(wǎng)絡(luò)上的所有訪問(wèn)是否正常。如果出現(xiàn)任何不同點(diǎn)，認(rèn)證或驗(yàn)證模塊就會(huì)提醒管理員和系統(tǒng)所有者進(jìn)行審查。如果這個(gè)不同點(diǎn)得到了認(rèn)可，就會(huì)得到一個(gè)電子簽名來(lái)確認(rèn)這個(gè)事實(shí)，其中還可能要有這個(gè)不同權(quán)利的終止日期。如果發(fā)現(xiàn)此權(quán)利未被授權(quán)，工作流程就會(huì)自動(dòng)監(jiān)管這個(gè)權(quán)利的清除，并通過(guò)電子郵件通知有關(guān)各方。

為確保雇員的訪問(wèn)權(quán)在其離職后能被清除，企業(yè)不妨使用自動(dòng)賬戶(hù)管理系統(tǒng)。自動(dòng)方案可以使源系統(tǒng)中的任何變化都會(huì)在所有連接的系統(tǒng)和應(yīng)用中反映出來(lái)。例如，在雇員離開(kāi)企業(yè)時(shí)，管理員只需一個(gè)單擊操作就可以輕松地在源系統(tǒng)中禁用雇員的賬戶(hù)。

實(shí)施基于角色的訪問(wèn)控制

許多企業(yè)往往不愿意實(shí)施基于角色的訪問(wèn)控制。因?yàn)槠髽I(yè)擔(dān)心冗長(zhǎng)而復(fù)雜的實(shí)施過(guò)程，并且由于雇員訪問(wèn)權(quán)要發(fā)生變化，也會(huì)對(duì)工作效率帶來(lái)副作用。完成基于角色的矩陣可能是一個(gè)需要花費(fèi)企業(yè)幾年時(shí)間的復(fù)雜過(guò)程。

有一些新方法可以縮短這個(gè)過(guò)程，并當(dāng)即帶來(lái)好處。企業(yè)可以采用人力資源系統(tǒng)作為數(shù)據(jù)源，收集所有雇員的部門(mén)、職位、位置以及企業(yè)的層次結(jié)構(gòu)等信息，并將這些信息用于創(chuàng)建每個(gè)訪問(wèn)級(jí)別的角色。下一步就是從活動(dòng)目錄等位置獲得當(dāng)前的權(quán)利，以及與不同角色的雇員有關(guān)的數(shù)據(jù)共享。

下一步，使數(shù)據(jù)標(biāo)準(zhǔn)化，確保相同角色的雇員擁有相同的訪問(wèn)權(quán)。可以通過(guò)從人力資源和活動(dòng)目錄、修正報(bào)告以及雇員的管理者那里收集數(shù)據(jù)，用于檢查和糾正。基于角色的訪問(wèn)控制應(yīng)用與身份管理系統(tǒng)結(jié)合使用，可以實(shí)施管理員在自動(dòng)模式中做出的變化。此過(guò)程可以在包含敏感信息的企業(yè)網(wǎng)絡(luò)的其它應(yīng)用中多次反復(fù)實(shí)施，確保訪問(wèn)權(quán)的正確性。

這些數(shù)據(jù)還可以作為定期檢查的基礎(chǔ)。如果企業(yè)對(duì)雇員的訪問(wèn)權(quán)進(jìn)行了修改，例如，針對(duì)一個(gè)臨時(shí)性的項(xiàng)目或任務(wù)修改了雇員的訪問(wèn)權(quán)，就可以自動(dòng)生成一份電子郵件發(fā)送給管理員進(jìn)行檢查或糾正。通過(guò)利用上述步驟，企業(yè)就可以用幾周而不是用幾年時(shí)間實(shí)施基于角色的訪問(wèn)控制矩陣。

保證雇員的效率

企業(yè)害怕的另一個(gè)問(wèn)題是工作效率問(wèn)題。實(shí)施基于角色的訪問(wèn)控制可能意味著雇員的訪問(wèn)權(quán)和對(duì)機(jī)器的控制權(quán)更少了。這可能意味著雇員需要得到允許才能做出變更、下載或訪問(wèn)其它資源，從而導(dǎo)致效率問(wèn)題。避免此問(wèn)題的辦法之就是在每個(gè)部門(mén)中指派一個(gè)擁有高級(jí)訪問(wèn)權(quán)的團(tuán)隊(duì)領(lǐng)導(dǎo)，例如每個(gè)部門(mén)的經(jīng)理或經(jīng)理指定的某人。雇員需要在變更計(jì)算機(jī)時(shí)，或是需要額外的訪問(wèn)權(quán)時(shí)，就不必每次都請(qǐng)求IT，而是由直屬經(jīng)理或指定的人員進(jìn)行處理。

雖然上述措施可以減少效率問(wèn)題，但對(duì)于一個(gè)大型企業(yè)來(lái)說(shuō)，其部門(mén)規(guī)模也較大，角色的訪問(wèn)控制仍是不小的負(fù)擔(dān)。解決此問(wèn)題的另一個(gè)更高級(jí)的方法是，使用工作流程管理方案。工作流程管理是一種可控的自動(dòng)化過(guò)程，它有預(yù)定的任務(wù)序列，可以代替多人才能實(shí)施的手工過(guò)程，從而通過(guò)一種簡(jiǎn)化而高效的過(guò)程處理雇員請(qǐng)求。

因而，如果雇員需要請(qǐng)求訪問(wèn)某個(gè)項(xiàng)目的某個(gè)應(yīng)用，就可以直接訪問(wèn)Web入口，請(qǐng)求所需要的任何資源(應(yīng)用、計(jì)算機(jī)、郵箱、通訊錄等)。然后，企業(yè)建立一個(gè)工作流程，將用戶(hù)請(qǐng)求傳遞給預(yù)先確定的可以檢查和準(zhǔn)許此請(qǐng)求的人員。從而使任何訪問(wèn)權(quán)的變更成為一個(gè)簡(jiǎn)單而安全的過(guò)程，并可以確保其一致性和連續(xù)性，而且在此過(guò)程中也不會(huì)誤傳或丟失。此外，這個(gè)方法還可以保證合適的人員得到適當(dāng)?shù)脑S可，從而使終端用戶(hù)也無(wú)法訪問(wèn)受限資源。

基于角色的訪問(wèn)控制與工作流程管理結(jié)合起來(lái)可以給企業(yè)帶來(lái)巨大的作用。這兩種方案協(xié)同工作可以確保企業(yè)網(wǎng)絡(luò)的安全性，且不會(huì)影響到雇員效率。