ሚና ላይ የተመሰረተ የመዳረሻ መቆጣጠሪያ ሞዴል መገንባት። ክፍል አንድ፣ መሰናዶ

አሁን ለሶፍትዌር አቅራቢ ድርጅት በተለይም የመዳረሻ መቆጣጠሪያ መፍትሄዎችን እሰራለሁ. እና የእኔ ልምድ "ከባለፈው ህይወት" ከደንበኛው ጎን - ትልቅ የፋይናንስ ተቋም ጋር የተያያዘ ነው. በዚያን ጊዜ፣ በመረጃ ደህንነት ክፍል ውስጥ ያለው የእኛ ተደራሽነት መቆጣጠሪያ ቡድን በመታወቂያው ውስጥ በታላቅ ብቃቶች መኩራራት አልቻለም። በሂደቱ ውስጥ ብዙ ተምረናል, በኩባንያው ውስጥ በመረጃ ስርዓቶች ውስጥ የተጠቃሚ መብቶችን ለማስተዳደር የአሰራር ዘዴን ለመገንባት ብዙ እብጠቶችን መሙላት ነበረብን.

በደንበኛው ውስጥ ያገኘሁትን ልምድ ከሻጭ ዕውቀት እና ችሎታዎች ጋር በማጣመር አንድ ደረጃ በደረጃ መመሪያን ላካፍላችሁ እፈልጋለሁ: በአንድ ትልቅ ኩባንያ ውስጥ ሚና ላይ የተመሰረተ የመዳረሻ መቆጣጠሪያ ሞዴል እንዴት መፍጠር እንደሚቻል እና በ ውስጥ ምን እንደሚሰጥ መጨረሻ። የእኔ መመሪያ ሁለት ክፍሎችን ያቀፈ ነው-የመጀመሪያው - ሞዴል ለመገንባት እየተዘጋጀን ነው, ሁለተኛው - እኛ በትክክል እንገነባለን. ከመካፈልዎ በፊት, መሰናዶ.

ማሳሰቢያ አርአያ መገንባት በሚያሳዝን ሁኔታ ውጤት ሳይሆን ሂደት ነው። ወይም ይልቁንስ በኩባንያው ውስጥ የመዳረሻ ቁጥጥር ሥነ-ምህዳርን የመፍጠር ሂደት አካል እንኳን። ስለዚህ ጨዋታውን ለረጅም ጊዜ ይከታተሉ።

በመጀመሪያ ፣ እንገልፃለን - ሚና ላይ የተመሠረተ የመዳረሻ ቁጥጥር ምንድነው? በአስር ወይም በመቶ ሺዎች የሚቆጠሩ ሰራተኞች (ርዕሰ ጉዳዮች) ያለው ትልቅ ባንክ አለህ እንበል፣ እያንዳንዳቸው በመቶዎች ለሚቆጠሩ የውስጠ-ባንክ የመረጃ ሥርዓቶች (ነገሮች) በደርዘን የሚቆጠሩ የመዳረሻ መብቶች አሏቸው። እና አሁን የነገሮችን ብዛት በርዕሰ-ጉዳዮች ቁጥር ማባዛት - ያ ነው ቢያንስ ቢያንስ በመጀመሪያ ለመገንባት ምን ያህል ግንኙነቶች ያስፈልግዎታል እና ከዚያ ይቆጣጠሩ። በእርግጥ በእጅ ማድረግ ይቻላል? በእርግጥ አይደለም - ይህንን ችግር ለመፍታት ሚናዎች ታዩ።

ሚና አንድ ተጠቃሚ ወይም የተጠቃሚ ቡድን የተወሰኑ የስራ ተግባራትን ለማከናወን የሚያስፈልጋቸው የፍቃዶች ስብስብ ነው። እያንዳንዱ ሰራተኛ አንድ ወይም ከዚያ በላይ ሚናዎች ሊኖረው ይችላል፣ እና እያንዳንዱ ሚና በዚያ ሚና ውስጥ ላለ ተጠቃሚ ከአንድ እስከ ብዙ ፈቃዶችን ሊይዝ ይችላል። ሚናዎች ከተወሰኑ የስራ መደቦች፣ ክፍሎች ወይም የሰራተኞች ተግባራዊ ተግባራት ጋር ሊተሳሰሩ ይችላሉ።

ሚናዎች አብዛኛውን ጊዜ የሚፈጠሩት በእያንዳንዱ የመረጃ ሥርዓት ውስጥ ካሉ የሰራተኞች ፈቃድ ነው። ከዚያም ዓለም አቀፍ የንግድ ሚናዎች ከእያንዳንዱ ሥርዓት ሚናዎች ይመሰረታሉ. ለምሳሌ፣ የቢዝነስ ሚና "የብድር አስተዳዳሪ" በባንኩ ደንበኛ ቢሮ ውስጥ ጥቅም ላይ በሚውሉ የመረጃ ሥርዓቶች ውስጥ የተለያዩ ሚናዎችን ያካትታል። ለምሳሌ እንደ ዋናው አውቶሜትድ የባንክ ሥርዓት፣ ጥሬ ገንዘብ መመዝገቢያ፣ የኤሌክትሮኒክ ሰነድ አስተዳደር ሥርዓት፣ የአገልግሎት አስተዳዳሪ እና ሌሎችም። የንግድ ሥራ ሚናዎች, እንደ አንድ ደንብ, ከድርጅታዊ መዋቅር ጋር የተሳሰሩ ናቸው - በሌላ አነጋገር, በውስጣቸው የኩባንያ ክፍሎች እና የስራ መደቦች ስብስብ. የአለምአቀፍ ሚና ማትሪክስ የሚፈጠረው በዚህ መንገድ ነው (ከዚህ በታች ባለው ሠንጠረዥ ውስጥ ምሳሌ እሰጣለሁ)።

በንግድ መዋቅር ውስጥ ለእያንዳንዱ የሥራ ቦታ ሰራተኞች ሁሉንም አስፈላጊ መብቶችን በማቅረብ 100% አርአያ መገንባት በቀላሉ የማይቻል መሆኑን ልብ ሊባል ይገባል ። አዎ, ይህ አስፈላጊ አይደለም. ከሁሉም በላይ, አርአያነቱ ቋሚ ሊሆን አይችልም, ምክንያቱም በየጊዜው በሚለዋወጠው አካባቢ ላይ የተመሰረተ ነው. እና በኩባንያው የንግድ እንቅስቃሴ ላይ ካለው ለውጥ, በዚህ መሠረት, በድርጅታዊ መዋቅር እና ተግባራዊነት ላይ ያለውን ለውጥ ይነካል. እና ከሀብት ሙሉ አቅርቦት እጦት እና ከስራ ዝርዝር መግለጫዎች ጋር አለመጣጣም እና ከደህንነት ወጪዎች ትርፍ የማግኘት ፍላጎት እና ከሌሎች በርካታ ምክንያቶች. ስለዚህ ወደ 80% የሚደርሱ የተጠቃሚዎች ፍላጎት ወደ ኃላፊነት ሲሾሙ አስፈላጊ ለሆኑ መሰረታዊ መብቶች የሚሸፍን አርአያ መገንባት ያስፈልጋል። እና ቀሪው 20% አስፈላጊ ከሆነ በኋላ በተለየ ማመልከቻዎች ላይ መጠየቅ ይችላሉ.

እርግጥ ነው፣ “ምንድነው፣ ምንም 100% አርአያዎች የሉም?” ብለው መጠየቅ ይችላሉ። ደህና ፣ ለምን ፣ ይህ ይከሰታል ፣ ለምሳሌ ፣ ለትርፍ ያልተቋቋሙ መዋቅሮች ፣ ለተደጋጋሚ ለውጦች የማይጋለጡ - በአንዳንድ የምርምር ተቋም ውስጥ። ወይም በወታደራዊ-ኢንዱስትሪ ውስብስብ ድርጅቶች ውስጥ ከፍተኛ የደህንነት ደረጃ ያለው, ደህንነት በመጀመሪያ የሚመጣበት. ይከሰታል, እና በንግድ መዋቅር ውስጥ, ነገር ግን በነጠላ ክፍል ማእቀፍ ውስጥ, ስራው በትክክል የማይለዋወጥ እና ሊተነበይ የሚችል ሂደት ነው.

የሚና አስተዳደር ዋነኛው ጠቀሜታ የመብቶች አሰጣጥን ቀላል ማድረግ ነው, ምክንያቱም ሚናዎች ብዛት ከመረጃ ስርዓቱ ተጠቃሚዎች ቁጥር በእጅጉ ያነሰ ነው. እና ይህ ለማንኛውም ኢንዱስትሪ እውነት ነው.

የችርቻሮ ኩባንያን እንውሰድ፡ በሺዎች የሚቆጠሩ ሻጮችን ይቀጥራል, ነገር ግን በ N ስርዓት ውስጥ ተመሳሳይ የመብቶች ስብስብ አላቸው, እና ለእነሱ አንድ ሚና ብቻ ይፈጠራል. አዲስ ሻጭ ወደ ኩባንያው መጣ - በሲስተሙ ውስጥ አስፈላጊውን ሚና በራስ-ሰር ተመድቦለታል, ይህም ቀድሞውኑ ሁሉም አስፈላጊ ኃይሎች አሉት. እንዲሁም፣ በአንድ ጠቅታ፣ በሺዎች የሚቆጠሩ ሻጮች መብቶችን በአንድ ጊዜ መቀየር ይችላሉ፣ ለምሳሌ፣ ሪፖርት ለማመንጨት አዲስ አማራጭ ያክሉ። ለእያንዳንዱ መለያ አዲስ መብትን በማገናኘት አንድ ሺህ ክዋኔዎችን ማድረግ አያስፈልግዎትም - ይህንን አማራጭ ወደ ሚናው ያክሉት, እና ለሁሉም ሻጮች በተመሳሳይ ጊዜ ይታያል.

ሌላው የሚና-ተኮር አስተዳደር ጠቀሜታ ተኳኋኝ ያልሆኑ ፈቃዶችን ማስወገድ ነው። ያም ማለት በስርአቱ ውስጥ የተወሰነ ሚና ያለው ሰራተኛ በአንድ ጊዜ ሌላ ሚና ሊኖረው አይችልም, መብቶቹ በመጀመሪያ ከመብቶቹ ጋር መቀላቀል የለባቸውም. ግልጽ ምሳሌ የፋይናንስ ግብይትን የግብዓት እና የቁጥጥር ተግባራትን የማጣመር እገዳ ነው።

ሚና ላይ የተመሰረተ የመዳረሻ ቁጥጥር እንዴት እንደመጣ ለማወቅ ፍላጎት ያለው ማንኛውም ሰው ይችላል።
ወደ ታሪክ ዘልቆ መግባት
ወደ ታሪክ ከተሸጋገርን, ለመጀመሪያ ጊዜ የ IT ማህበረሰብ በ 70 ዎቹ የ XNUMX ኛው ክፍለ ዘመን የመግቢያ መቆጣጠሪያ ዘዴዎችን አስቧል. ምንም እንኳን አፕሊኬሽኖች ያኔ በጣም ቀላል ነበሩ፣ ግን እንደአሁኑ፣ ሁሉም ሰው የእነርሱን መዳረሻ በአግባቡ ማስተዳደር ፈልጎ ነበር። የተጠቃሚ መብቶችን ይስጡ ፣ ይቀይሩ እና ይቆጣጠሩ - እያንዳንዳቸው ምን መዳረሻ እንዳላቸው ለመረዳት ቀላል ለማድረግ ብቻ። ነገር ግን በዚያን ጊዜ ምንም የተለመዱ ደረጃዎች አልነበሩም, የመጀመሪያው የመዳረሻ ቁጥጥር ስርዓቶች እየተዘጋጁ ነበር, እና እያንዳንዱ ኩባንያ በራሱ ሃሳቦች እና ደንቦች ላይ የተመሰረተ ነው.

ብዙ የተለያዩ የመዳረሻ መቆጣጠሪያ ሞዴሎች አሁን ይታወቃሉ, ነገር ግን ወዲያውኑ አልታዩም. ለዚህ አቅጣጫ እድገት ተጨባጭ አስተዋፅዖ ያበረከቱትን እናንሳ።

የመጀመሪያው እና ምናልባትም ቀላሉ ሞዴል ነው አስተዋይ (የተመረጠ) የመዳረሻ መቆጣጠሪያ (DAC - የመዳረሻ መቆጣጠሪያ). ይህ ሞዴል በመዳረሻ ሂደቱ ውስጥ ያሉ ሁሉም ተሳታፊዎች የመብቶችን መጋራትን ያመለክታል. እያንዳንዱ ተጠቃሚ ለተወሰኑ ነገሮች ወይም ስራዎች መዳረሻ ያገኛል። በእውነቱ, እዚህ የመብቶች ተገዢዎች ስብስብ ከእቃዎች ስብስብ ጋር ይዛመዳል. ይህ ሞዴል በጣም ተለዋዋጭ እና ለማቆየት በጣም አስቸጋሪ ሆኖ ተገኝቷል፡ የመዳረሻ ዝርዝሮች በጣም ግዙፍ እና በጊዜ ሂደት ለመቆጣጠር አስቸጋሪ ይሆናሉ.

ሁለተኛው ሞዴል ነው የግዴታ መዳረሻ መቆጣጠሪያ (MAC). በዚህ ሞዴል መሠረት እያንዳንዱ ተጠቃሚ ለተወሰነ የውሂብ ሚስጥራዊነት ደረጃ በተሰጠው መዳረሻ መሠረት ወደ ዕቃው ይደርሳል። በዚህ መሠረት ዕቃዎች በምስጢራዊነት ደረጃ መከፋፈል አለባቸው. ከመጀመሪያው ተለዋዋጭ ሞዴል በተቃራኒ ይህ በተቃራኒው በጣም ጥብቅ እና ጥብቅ ሆኖ ተገኝቷል. አጠቃቀሙ ኩባንያው ብዙ የተለያዩ የመረጃ ሀብቶች ሲኖረው እራሱን አያጸድቅም-የተለያዩ ሀብቶችን ተደራሽነት ለመገደብ ፣ የማይደራረቡ ብዙ ምድቦችን ማስተዋወቅ አለብዎት።

በነዚህ ሁለት መንገዶች ግልፅ አለፍጽምና ምክንያት የአይቲ ማህበረሰብ የተለያዩ አይነት ድርጅታዊ ተደራሽነት ቁጥጥር ፖሊሲዎችን ለመደገፍ ተለዋዋጭ እና በተመሳሳይ ጊዜ የበለጠ ወይም ያነሰ ሁለንተናዊ ሞዴሎችን ማዘጋጀቱን ቀጥሏል። እና ያኔ ነው የታየው። ሚና ላይ የተመሰረተ የመዳረሻ ቁጥጥር ሶስተኛው ሞዴል! ይህ አካሄድ የተጠቃሚውን ማንነት መፍቀድ ብቻ ሳይሆን በስርዓቶቹ ውስጥም የሚሰራው ስራ ስለሚያስፈልገው በጣም ተስፋ ሰጪ ሆኖ ተገኝቷል።

የመጀመሪያው በደንብ የተገለፀው የአርአያነት መዋቅር በአሜሪካ ሳይንቲስቶች ዴቪድ ፌራይሎ እና በ1992 የአሜሪካ ብሔራዊ ደረጃዎች እና ቴክኖሎጂ ኢንስቲትዩት ባልደረባ የሆኑት ሪቻርድ ኩን ናቸው። ከዚያም ቃሉ መጀመሪያ ታየ RBAC (ሚና-ተኮር የመዳረሻ መቆጣጠሪያ)። እነዚህ ጥናቶች እና የዋና ዋና ክፍሎች መግለጫዎች እንዲሁም ግንኙነቶቻቸው በአለም አቀፍ የኢንፎርሜሽን ቴክኖሎጂ ደረጃዎች (INCITS) የፀደቀው እስከ ዛሬ ድረስ የሚሰራውን የ INCITS 359-2012 መስፈርት መሰረት ፈጥረዋል።

መስፈርቱ ሚናን "በድርጅት አውድ ውስጥ ያለ የስራ ተግባር ለተጫዋቹ የተመደበውን ስልጣን እና ሀላፊነት በተመለከተ አንዳንድ ተያያዥ የትርጉም ስራዎች" በማለት ይገልፃል። ሰነዱ የ RBAC መሰረታዊ አካላትን - ተጠቃሚዎችን ፣ ክፍለ-ጊዜዎችን ፣ ሚናዎችን ፣ ፈቃዶችን ፣ ሥራዎችን እና ዕቃዎችን እንዲሁም በመካከላቸው ያሉ ግንኙነቶችን እና ግንኙነቶችን ያቋቁማል ።

መስፈርቱ ሞዴልን ለመገንባት አነስተኛውን አስፈላጊ መዋቅር ያቀርባል - በሚናዎች ውስጥ መብቶችን በማጣመር እና በእነዚህ ሚናዎች የተጠቃሚዎችን ተደራሽነት ይሰጣል። ከነገሮች እና ኦፕሬሽኖች ውስጥ ሚናዎችን ለመቅረጽ የሚረዱ ዘዴዎች ተዘርዝረዋል ፣ የተግባር ተዋረድ እና የስልጣን ውርስ ተገልጸዋል። በእርግጥም, በማንኛውም ኩባንያ ውስጥ ለሁሉም የኩባንያው ሰራተኞች አስፈላጊ የሆኑ የመጀመሪያ ደረጃ ኃይሎችን የሚያጣምሩ ሚናዎች አሉ. ይህ የኢ-ሜይል፣ የEDMS፣ የኮርፖሬት ፖርታል ወዘተ መዳረሻ ሊሆን ይችላል። እነዚህ ፍቃዶች "ሰራተኛ" በሚባል አንድ አጠቃላይ ሚና ውስጥ ሊካተቱ ይችላሉ, እና በእያንዳንዱ ከፍተኛ ደረጃ ሚናዎች ውስጥ ሁሉንም የአንደኛ ደረጃ መብቶችን ደጋግመው መዘርዘር አስፈላጊ አይሆንም. የ "ሰራተኛ" ሚና የውርስ ምልክትን ለማመልከት ብቻ በቂ ነው.

በኋላ፣ መስፈርቱ በየጊዜው ከሚለዋወጠው አካባቢ ጋር በተያያዙ አዳዲስ የመዳረሻ ባህሪያት ተጨምሯል። የማይለዋወጥ እና ተለዋዋጭ ገደቦችን የማስተዋወቅ ችሎታ ታክሏል። የማይለዋወጡት ሚናዎችን የማጣመር የማይቻል መሆኑን ያመለክታሉ (ከላይ የተጠቀሰው ተመሳሳይ ግብዓት እና ኦፕሬሽኖች ቁጥጥር)። ተለዋዋጭ ገደቦች እንደ ጊዜ (የስራ/የስራ ሰዓት ወይም ቀናት)፣ አካባቢ (ቢሮ/ቤት) እና የመሳሰሉትን መለኪያዎች በመቀየር ሊገለጹ ይችላሉ።

በተናጠል ፣ ስለ እሱ ሊባል ይገባል በባህሪ ላይ የተመሰረተ የመዳረሻ መቆጣጠሪያ (ABAC)። አቀራረቡ የባህሪ መጋራት ህጎችን በመጠቀም መዳረሻን በመስጠት ላይ የተመሰረተ ነው። ይህ ሞዴል በተናጥል ጥቅም ላይ ሊውል ይችላል ፣ ግን ብዙውን ጊዜ ክላሲክን ሞዴል በንቃት ያሟላል-የተጠቃሚዎችን ፣ ሀብቶችን እና መሳሪያዎችን እንዲሁም ጊዜን ወይም አካባቢን ለተወሰነ ሚና ማከል ይችላሉ። ይህ ያነሱ ሚናዎችን እንድትጠቀም፣ ተጨማሪ ገደቦችን እንድታስተዋውቅ እና መዳረሻን በትንሹ በቂ እንድትሆን ያስችልሃል፣ እና፣ ስለዚህ ደህንነትን ይጨምራል።

ለምሳሌ, አንድ የሂሳብ ባለሙያ በአንድ የተወሰነ ክልል ውስጥ ቢሰራ ወደ መለያዎች እንዲገባ ሊፈቀድለት ይችላል. ከዚያም የልዩ ባለሙያው ቦታ ከተወሰነ የማጣቀሻ እሴት ጋር ይነጻጸራል. ወይም ወደ መለያዎች መዳረሻ መስጠት የሚችሉት ተጠቃሚው በተፈቀደላቸው መመዝገቢያ ውስጥ ከገባ መሣሪያ ውስጥ ከገባ ብቻ ነው። ለአርአያነት ጥሩ ተጨማሪ ነገር ግን ብዙ ደንቦችን እና የፍቃዶችን ወይም ገደቦችን መፍጠር ስለሚያስፈልገው በራሱ ብዙም ጥቅም ላይ አይውልም.

ከ "ባለፈው ህይወቴ" የ ABAC አጠቃቀምን ምሳሌ እሰጣለሁ. ባንካችን በርካታ ቅርንጫፎች ነበሩት። በእነዚህ ቅርንጫፎች ውስጥ ያሉ የደንበኛ ቢሮዎች ሰራተኞች በትክክል ተመሳሳይ ስራዎችን አከናውነዋል, ነገር ግን በዋናው ስርዓት ውስጥ በክልላቸው ውስጥ ባሉ መለያዎች ብቻ መስራት ነበረባቸው. በመጀመሪያ፣ ለእያንዳንዱ ክልል የተለየ ሚናዎችን መፍጠር ጀመርን - እና በጣም ብዙ እንደዚህ ያሉ ሚናዎች ከተደጋጋሚ ተግባር ጋር ነበሩ ፣ ግን የተለያዩ መለያዎችን ማግኘት! ከዚያ፣ ለተጠቃሚው የመገኛ ቦታ ባህሪን በመጠቀም እና ለመፈተሽ ከተወሰኑ መለያዎች ጋር በማጣመር በስርዓቱ ውስጥ ያለውን ሚናዎች በከፍተኛ ሁኔታ ቀንሰናል። በውጤቱም, ሚናዎች ለአንድ ቅርንጫፍ ብቻ ቀርተዋል, ይህም በሁሉም ሌሎች የባንኩ የክልል ክፍሎች ውስጥ ለሚገኙ ተዛማጅ ቦታዎች ተባዝቷል.

እና አሁን ስለ አስፈላጊው የዝግጅት ደረጃዎች እንነጋገር ፣ ያለዚህም በቀላሉ የሚሠራ አርአያ መገንባት የማይቻል ነው።

ደረጃ 1. ተግባራዊ ሞዴል ይፍጠሩ

ተግባራዊ ሞዴል በመፍጠር መጀመር ጠቃሚ ነው - የእያንዳንዱን ክፍል እና የእያንዳንዱን አቀማመጥ ተግባር በዝርዝር የሚገልጽ ከፍተኛ ደረጃ ሰነድ. እንደ አንድ ደንብ መረጃ ከተለያዩ ሰነዶች ውስጥ ያስገባል-የሥራ መግለጫዎች እና ደንቦች ለግለሰብ ክፍሎች - ክፍሎች, ክፍሎች, ክፍሎች. የተግባር ሞዴል ከሁሉም ፍላጎት ክፍሎች (ንግድ, የውስጥ ቁጥጥር, ደህንነት) ጋር መስማማት እና በኩባንያው አስተዳደር ተቀባይነት ሊኖረው ይገባል. ይህ ሰነድ ለምንድነው? ስለዚህ አርአያነቱ ሊያመለክት ይችላል። ለምሳሌ፣ አሁን ባለው የሰራተኞች መብት ላይ የተመሰረተ አርአያ ልትገነባ ነው - ከስርአቱ አውርደህ “ወደ የጋራ መለያ ተቀንሷል”። ከዚያም ከስርአቱ የቢዝነስ ባለቤት ጋር በተቀበሉት ሚናዎች ላይ በሚስማሙበት ጊዜ, ይህ ወይም ያኛው መብት በሚጫወተው ሚና ውስጥ የተካተተበትን የተግባር ሞዴል የተወሰነ ንጥል ነገር ሊያመለክት ይችላል.

ደረጃ 2. የአይቲ ሲስተሞችን ኦዲት እናደርጋለን እና ቅድሚያ የሚሰጠውን እቅድ አውጥተናል

በሁለተኛው ደረጃ የ IT ስርዓቶችን ተደራሽነት እንዴት እንደሚደራጁ ለመረዳት የኦዲት ኦዲት መደረግ አለበት. ለምሳሌ፣ የእኔ የፋይናንስ ኩባንያ በመቶዎች የሚቆጠሩ የመረጃ ሥርዓቶችን አንቀሳቅሷል። በሁሉም ስርዓቶች ውስጥ አንዳንድ ሚናዎች አስተዳደር አንዳንድ መሠረታዊ ነገሮች ነበሩ, በአብዛኛዎቹ - አንዳንድ ሚናዎች, ነገር ግን አብዛኛውን ጊዜ በወረቀት ላይ ወይም ሥርዓት ማውጫ ውስጥ - እነርሱ ረጅም ጊዜ ያለፈባቸው ናቸው, እና ለእነሱ መዳረሻ ትክክለኛ የተጠቃሚ ጥያቄዎች ላይ ተሰራጭቷል ነበር. በተፈጥሮ ፣ በብዙ መቶ ስርዓቶች ውስጥ አርአያ መገንባት በቀላሉ የማይቻል ነው ፣ የሆነ ቦታ መጀመር አለብዎት። የብስለት ደረጃውን ለመወሰን የመዳረሻ ቁጥጥር ሂደቱን በጥልቀት ትንታኔ አድርገናል. በመተንተን ሂደት ውስጥ, የመረጃ ስርዓቶችን ቅድሚያ የሚሰጣቸው መስፈርቶች ተዘጋጅተዋል - ወሳኝነት, ዝግጁነት, የመልቀቂያ እቅዶች, ወዘተ. በእነሱ እርዳታ ለእነዚህ ስርዓቶች አርአያዎችን ለማዳበር / ለማዘመን ቅደም ተከተል ገንብተናል። እና ከዚያ - የመዳረሻ ቁጥጥርን በራስ-ሰር ለማድረግ ከማንነት አስተዳደር መፍትሄ ጋር ለማዋሃድ በእቅዱ ውስጥ አርአያዎችን ተካቷል።

ስለዚህ የስርዓቱን ወሳኝነት እንዴት መወሰን ይቻላል? የሚከተሉትን ጥያቄዎች እራስዎን ይመልሱ።

• ስርዓቱ የኩባንያው ዋና ሥራ ከተመሠረተባቸው የአሠራር ሂደቶች ጋር የተያያዘ ነው?
• የስርዓቱ መቋረጥ የኩባንያውን ንብረቶች ታማኝነት ይጎዳል?
• ከተቋረጠ በኋላ እንቅስቃሴን ወደነበረበት መመለስ የማይቻልበት ከደረሰ በኋላ የሚፈቀደው ከፍተኛ የስርዓተ ክወና ጊዜ ምንድነው?
• በስርአቱ ውስጥ ያለውን የመረጃ ትክክለኛነት መጣስ የገንዘብ እና መልካም ስም ወደማይመለሱ ውጤቶች ሊያመራ ይችላል?
• ለማጭበርበር ወሳኝነት. የተግባር መገኘት, በቂ ያልሆነ ቁጥጥር, ውስጣዊ / ውጫዊ የማጭበርበር ድርጊቶችን ማከናወን ይቻላል;
• የእነዚህ ስርዓቶች ህጋዊ መስፈርቶች, እንዲሁም የውስጥ ደንቦች እና ሂደቶች ምንድ ናቸው? አለማክበር ከተቆጣጣሪዎች ቅጣቶች ይኖሩ ይሆን?

በፋይናንሺያል ድርጅታችን ውስጥ እንደዚህ አይነት ኦዲት አድርገናል። ማኔጅመንቱ ከተጠቃሚዎች ጋር እና በቀዳሚ ቅድሚያ ዝርዝር ውስጥ ባሉት የመረጃ ስርዓቶች ላይ መብቶችን ለማስተናገድ የመዳረሻ መብት ግምገማ ኦዲት አሰራርን አዘጋጅቷል። የደህንነት ክፍሉ የዚህ ሂደት ባለቤት ተመድቧል። ነገር ግን በኩባንያው ውስጥ ያለውን የመዳረሻ መብቶች ሙሉ ምስል ለማግኘት በሂደቱ ውስጥ የ IT እና የንግድ ክፍሎችን ማካተት አስፈላጊ ነበር. እና እዚህ አለመግባባቶች, አለመግባባቶች እና አንዳንድ ጊዜ ማበላሸት ጀመሩ ማንም ሰው አሁን ካለው ተግባራቸው ለመላቀቅ እና በአንዳንድ, በአንደኛው እይታ, ለመረዳት የማይቻል እንቅስቃሴዎች ውስጥ መሳተፍ አይፈልግም.

ማሳሰቢያ የዳበረ የአይቲ ሂደቶች ጋር ትልልቅ ኩባንያዎች ምናልባት የ IT ኦዲት አሠራር - የአይቲ አጠቃላይ ቁጥጥሮች (ITGC) ጋር ጠንቅቀው ያውቃሉ, ይህም በአይቲ ሂደቶች ውስጥ ድክመቶችን ለመለየት እና ቁጥጥር ለመመስረት ይህም በተሻለ አሠራር (ITIL, COBIT, IT) መሰረት ሂደቶችን ለማሻሻል ያስችላል. አስተዳደር ወዘተ.) እንዲህ ዓይነቱ ኦዲት IT እና የንግድ ሥራ እርስ በርስ በተሻለ ሁኔታ እንዲግባቡ እና የጋራ ልማት ስትራቴጂ እንዲያዘጋጁ, አደጋዎችን እንዲተነትኑ, ወጪዎችን እንዲያሳድጉ እና የበለጠ ውጤታማ የሥራ ዘዴዎችን እንዲያዳብሩ ያስችላቸዋል.



ከኦዲት ዘርፎች አንዱ የመረጃ ሥርዓቶችን አመክንዮአዊ እና አካላዊ ተደራሽነት መለኪያዎችን መወሰን ነው። የተገኘውን መረጃ አርአያ ለመገንባት ለበለጠ ጥቅም መሰረት አድርገን ወስደናል። በእንደዚህ አይነት ኦዲት ምክንያት, የ IT ስርዓቶች መመዝገቢያ አለን, ይህም ቴክኒካዊ መለኪያዎች ተወስነው እና መግለጫዎች ተሰጥተዋል. በተጨማሪም ለእያንዳንዱ ሥርዓት አንድ ባለቤት የሚሠራው ከንግድ ሥራው አቅጣጫ ተወስኗል-ይህ ሥርዓት ለሚያገለግል የንግድ ሥራ ሂደቶች ተጠያቂው እሱ ነበር. በተወሰነ አይ ኤስ ውስጥ ለንግድ ፍላጎቶች ቴክኒካዊ አተገባበር ኃላፊነት ያለው የአይቲ አገልግሎት አስተዳዳሪ ተሾመ። ለኩባንያው በጣም ወሳኝ ስርዓቶች እና ቴክኒካዊ መመዘኛዎች, የኮሚሽን እና የመልቀቂያ ቀናት, ወዘተ ተመዝግበዋል.እነዚህ መለኪያዎች አርአያ ለመገንባት በማዘጋጀት ሂደት ውስጥ ብዙ ረድተዋል.

ደረጃ 3 ዘዴን ይፍጠሩ

ለማንኛውም ንግድ ስኬት ቁልፉ ትክክለኛው ዘዴ ነው. ስለዚህ አርአያ ለመገንባትም ሆነ ኦዲት ለማካሄድ በዲፓርትመንቶች መካከል ያለውን መስተጋብር የምንገልጽበት፣ በኩባንያው ደንቦች ውስጥ ኃላፊነትን የምናስተካክልበት፣ ወዘተ የምንገልጽበትን ዘዴ መፍጠር አለብን።
በመጀመሪያ የመዳረሻ እና የመብቶች አሰጣጥ ሂደትን የሚያዘጋጁትን ሁሉንም ሰነዶች መመርመር ያስፈልግዎታል. በጥሩ ሁኔታ ሂደቶች በበርካታ ደረጃዎች መመዝገብ አለባቸው-

• አጠቃላይ የድርጅት መስፈርቶች;
• ለመረጃ ደህንነት ቦታዎች መስፈርቶች (በድርጅቱ እንቅስቃሴዎች ላይ የተመሰረተ ነው);
• ለቴክኖሎጂ ሂደቶች መስፈርቶች (መመሪያዎች, የመዳረሻ ማትሪክስ, መመሪያዎች, የውቅረት መስፈርቶች).

በፋይናንሺያል ኩባንያችን ውስጥ ብዙ ጊዜ ያለፈባቸው ሰነዶች አግኝተናል - ከአዳዲስ ሂደቶች ጋር መጣጣም ነበረብን።

በአስተዳደሩ ትእዛዝ ከደህንነት፣ ከአይቲ፣ ከንግድ እና ከውስጥ ቁጥጥር የተውጣጡ ተወካዮችን ያካተተ የስራ ቡድን ተፈጠረ። ትዕዛዙ ቡድኑን የመፍጠር ግቦችን ፣ የእንቅስቃሴውን አቅጣጫ ፣ የሕልውናውን ጊዜ እና የእያንዳንዱን ወገን ሀላፊነቶች ዘርዝሯል። በተጨማሪም የኦዲት ዘዴን እና አርአያ የመገንባት አሰራርን አዘጋጅተናል-በሁሉም የአከባቢው ተወካዮች ተስማምተው በኩባንያው አስተዳደር ተቀባይነት አግኝተዋል.

ሥራን, የግዜ ገደቦችን, ኃላፊነቶችን, ወዘተ የማከናወን ሂደቱን የሚገልጹ ሰነዶች. - መጀመሪያ ላይ ለሁሉም ሰው የማይታወቅ ወደ ተወደደው ግብ በሚወስደው መንገድ ላይ ማንም ሰው “ለምን ይህንን እያደረግን ነው ፣ ለምን ያስፈልገናል ፣ ወዘተ” የሚል ጥያቄ አይኖረውም። እና ሂደቱን "ለመዝለል" ወይም ለማዘግየት ምንም እድል አይኖርም.

ደረጃ 4. አሁን ያለውን የመዳረሻ መቆጣጠሪያ ሞዴል መለኪያዎችን ማስተካከል

የመዳረሻ መቆጣጠሪያን በተመለከተ "የስርዓት ፓስፖርት" ተብሎ የሚጠራውን እናዘጋጃለን. እንደ እውነቱ ከሆነ, ይህ በአንድ የተወሰነ የመረጃ ስርዓት ላይ ያለ መጠይቅ ነው, በእሱ ውስጥ መዳረሻን ለማስተዳደር ሁሉም ስልተ ቀመሮች ይመዘገባሉ. የ IdM ክፍል መፍትሄዎችን አስቀድመው ተግባራዊ ያደረጉ ኩባንያዎች ምናልባት እንዲህ ዓይነቱን መጠይቅ ያውቃሉ ፣ ምክንያቱም የስርዓቶች ጥናት የሚጀምረው በእሱ ነው።

ስለ ስርዓቱ እና ባለቤቶች አንዳንድ መለኪያዎች ከ IT መዝገብ ቤት ወደ መጠይቁ ገብተዋል (ደረጃ 2፣ ኦዲት ይመልከቱ)፣ ነገር ግን አዳዲሶች ተጨምረዋል።

• መለያዎች እንዴት እንደሚተዳደሩ (በቀጥታ በመረጃ ቋት ውስጥ ወይም በፕሮግራም መገናኛዎች);
• ተጠቃሚዎች ወደ ስርዓቱ እንዴት እንደሚገቡ (የተለየ መለያ በመጠቀም ወይም የ AD መለያ በመጠቀም, LDAP, ወዘተ.);
• ወደ ስርዓቱ ምን ዓይነት የመዳረሻ ደረጃዎች ጥቅም ላይ ይውላሉ (የመተግበሪያ ደረጃ, የስርዓት ደረጃ, በስርዓቱ የአውታረ መረብ ፋይል ሀብቶች አጠቃቀም);
• ስርዓቱ የሚሰራባቸው የአገልጋዮች መግለጫ እና መለኪያዎች;
• ምን ዓይነት የመለያ አስተዳደር ስራዎች ይደገፋሉ (ማገድ, እንደገና መሰየም, ወዘተ.);
• የስርዓቱን ተጠቃሚ መለያ ለመፍጠር ምን አይነት ስልተ ቀመሮች ወይም ደንቦች ጥቅም ላይ ይውላሉ;
• በሠራተኛ ስርዓት ውስጥ ስለ ሰራተኛ (ሙሉ ስም ፣ የሰራተኛ ቁጥር ፣ ወዘተ) ውስጥ ስለ ሰራተኛ ካለው መዝገብ ጋር አገናኝ ለመፍጠር ምን አይነት ባህሪ መጠቀም ይቻላል ።
• ለመሙላት ሁሉም ሊሆኑ የሚችሉ የመለያ ባህሪያት እና ደንቦች;
• በስርዓቱ ውስጥ ምን የመዳረሻ መብቶች አሉ (ሚናዎች ፣ ቡድኖች ፣ የአቶሚክ መብቶች ፣ ወዘተ. ፣ የጎጆ ወይም የተዋረድ መብቶች አሉ);
• የመዳረሻ መብቶችን (በቦታዎች, ክፍሎች, ተግባራት, ወዘተ) የመለየት ዘዴዎች;
• ስርዓቱ ለመብቶች መለያየት ደንቦች (SOD - ግዴታዎች መለያየት) እና እንዴት እንደሚሠሩ;
• በስርዓቱ ውስጥ መቅረት ፣ ማስተላለፍ ፣ መባረር ፣ የሰራተኛ መረጃ ማዘመን ፣ ወዘተ ክስተቶች እንዴት እንደሚከናወኑ ።

ዝርዝሩ ሊቀጥል ይችላል, የተለያዩ መለኪያዎችን እና ሌሎች በመዳረሻ ቁጥጥር ሂደት ውስጥ የተሳተፉ ሌሎች አካላትን ይዘረዝራል.

ደረጃ 5፡ ንግድ-ተኮር የፈቃድ መግለጫ ይፍጠሩ

አርአያ ሲገነቡ የሚያስፈልገን ሌላ ሰነድ በመረጃ ስርዓት ውስጥ ለተጠቃሚዎች ሊሰጡ የሚችሉትን ሁሉንም ስልጣኖች (መብቶች) ከጀርባው ያለውን የንግድ ሥራ ዝርዝር መግለጫ የያዘ መመሪያ ነው. ብዙውን ጊዜ በሲስተሙ ውስጥ ያሉት ሃይሎች ፊደሎችን እና ቁጥሮችን ያካተቱ በተወሰኑ ስሞች የተመሰጠሩ ናቸው, እና የንግድ ሰራተኞች ከእነዚህ ቁምፊዎች በስተጀርባ ምን እንዳለ ማወቅ አይችሉም. ከዚያም ወደ የአይቲ አገልግሎት ይሄዳሉ፣ እና እዚያ... እንዲሁም ለጥያቄው መልስ መስጠት አይችሉም፣ ለምሳሌ፣ ስለ እምብዛም ጥቅም ላይ ያልዋሉ መብቶች። ከዚያ ተጨማሪ ምርመራ ማድረግ አለብዎት.

ቀደም ሲል የንግድ ሥራ መግለጫ ካለ ወይም የእነዚህ መብቶች በቡድን እና ሚናዎች ማህበር ቢኖር ጥሩ ነው። ለአንዳንድ አፕሊኬሽኖች በጣም ጥሩው አሰራር በእድገት ደረጃ ላይ እንዲህ አይነት መመሪያ መፍጠር ነው. ግን ይህ ብዙ ጊዜ አይከሰትም ፣ ስለሆነም እንደገና ወደ IT ክፍል እንሄዳለን ሊሆኑ የሚችሉ መብቶችን ሁሉ መረጃ ለመሰብሰብ እና እነሱን ለመግለጽ። መመሪያችን በመጨረሻ የሚከተሉትን ይይዛል፡-

• የመዳረሻ መብቱ የሚተገበርበትን ነገር ጨምሮ የባለሥልጣኑ ስም;
• በእቃው (በመመልከት, በመለወጥ, ወዘተ) እንዲሰራ የሚፈቀደው ድርጊት, የመገደብ እድል, ለምሳሌ በክልል ወይም በደንበኞች ቡድን ላይ;
• የባለስልጣን ኮድ (የስርዓቱን ተግባር ኮድ እና ስም / ጥያቄን በመጠቀም ስልጣንን በመጠቀም ሊከናወን ይችላል);
• የባለሥልጣኑ መግለጫ (ባለሥልጣኑ በሚተገበርበት ጊዜ በ IS ውስጥ ስላሉት ድርጊቶች ዝርዝር መግለጫ እና ለሂደቱ የሚያስከትሏቸው ውጤቶች;
• የፍቃድ ሁኔታ፡- “ገባሪ” (ፈቃዱ ቢያንስ ለአንድ ተጠቃሚ ከተሰጠ) ወይም “ገባሪ አይደለም” (ፍቃዱ ጥቅም ላይ ካልዋለ)።

ደረጃ 6 ስለተጠቃሚዎች እና ስለመብቶች መረጃን ከስርአቶች አውርደን ከሰራተኛ ምንጭ ጋር እናነፃፅራለን

በመጨረሻው የዝግጅት ደረጃ ላይ ስለ ሁሉም ተጠቃሚዎች እና በአሁኑ ጊዜ ስላሏቸው መብቶች መረጃን ከመረጃ ስርዓቶች መስቀል አለብዎት። እዚህ ሁለት ሁኔታዎች ሊኖሩ ይችላሉ። በመጀመሪያ, የደህንነት ክፍል ወደ ስርዓቱ ቀጥተኛ መዳረሻ ያለው እና ተዛማጅ ሪፖርቶችን ለማውረድ የሚያስችል ዘዴ አለው, ይህም አልፎ አልፎ, ግን በጣም ምቹ ነው. ሁለተኛ፡ ሪፖርቶችን በሚፈለገው ቅርጸት ለመቀበል ወደ IT ጥያቄ እንልካለን። ልምምድ እንደሚያሳየው ከ IT ጋር መደራደር እና አስፈላጊውን መረጃ ለመጀመሪያ ጊዜ ማግኘት አይቻልም. መረጃው በሚፈለገው ቅጽ እና ቅርጸት እስኪደርስ ድረስ ብዙ አቀራረቦችን ማድረግ አስፈላጊ ነው.

ምን ውሂብ መጫን አለበት:

• የአድራሻ ስም
• የተመደበለት ሰራተኛ ስም
• ሁኔታ (ገባሪ ወይም ተሰናክሏል)
• መለያ የተፈጠረበት ቀን
• ለመጨረሻ ጊዜ ጥቅም ላይ የዋለው ቀን
• የሚገኙ መብቶች/ቡድኖች/ ሚናዎች ዝርዝር

ስለዚህ ከሁሉም ተጠቃሚዎች ጋር እና የተሰጣቸውን ሁሉንም መብቶች ከስርዓቱ ማራገፎችን ተቀብለናል. እና አርአያ የመገንባት ስራ የሚሰራው ለንቁ ተጠቃሚዎች ብቻ ስለሆነ ወዲያውኑ ሁሉንም የታገዱ ሂሳቦችን ወደ ጎን ይጥላሉ።

ከዚያ ኩባንያዎ ከሥራ የተባረሩ ሰራተኞችን የመዝጋት ዘዴ ከሌለው (ይህ የተለመደ አይደለም) ወይም ሁልጊዜ በትክክል የማይሰራ የ patchwork አውቶሜሽን ካለ ሁሉንም "የሞቱ ነፍሳት" መለየት ያስፈልግዎታል. እየተነጋገርን ያለነው ቀድሞውኑ ስለተባረሩ ሰራተኞች መለያዎች ነው, መብታቸው በሆነ ምክንያት የማይታገድ - መታገድ አለባቸው. ይህንን ለማድረግ, የተሰቀለውን ውሂብ ከሰራተኞች ምንጭ ጋር እናነፃፅራለን. የሰራተኞች ማራገፊያ የሰራተኛ መሰረትን ከሚመራው ክፍል አስቀድሞ ማግኘት አለበት።

በተናጥል ፣ ባለቤቶቻቸው በሠራተኛ መሠረት ውስጥ ያልተገኙ ፣ ለማንም ያልተመደቡ - ማለትም ባለቤት የለሽ ሂሳቦችን መተው ያስፈልጋል ። ለዚህ ዝርዝር, የመጨረሻው ጥቅም ላይ የሚውልበትን ቀን እንፈልጋለን: በጣም በቅርብ ከሆነ, አሁንም ባለቤቶቹን መፈለግ አለብን. ይህ ለማንም ያልተመደቡ ነገር ግን ከማናቸውም ሂደቶች ጋር የተያያዙ የውጭ ኮንትራክተሮች ወይም የአገልግሎት ሂሳቦችን ሊያካትት ይችላል። የመለያውን ባለቤትነት ግልጽ ለማድረግ, ምላሽ የመስጠት ጥያቄ ወደ ሁሉም ክፍሎች ደብዳቤ መላክ ይችላሉ. ባለቤቶቹ ሲገኙ, ስለእነሱ መረጃ ወደ ስርዓቱ ውስጥ እናስገባለን: በዚህ መንገድ, ሁሉም ንቁ መለያዎች ተለይተው ይታወቃሉ, የተቀሩት ደግሞ ታግደዋል.

የእኛ ሰቀላዎች ከማያስፈልጉ መዝገቦች እንደተፀዱ እና ንቁ መለያዎች ብቻ እንደቀሩ ለአንድ የተወሰነ የመረጃ ስርዓት ሞዴል መገንባት እንጀምራለን። ግን ስለዚህ ጉዳይ በሚቀጥለው ርዕስ ውስጥ እናገራለሁ.

ደራሲ: Lyudmila Sevastyanova, Solar inRights Promotion Manager

ምንጭ: hab.com