{"id":87793,"date":"2020-07-10T13:41:57","date_gmt":"2020-07-10T11:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya"},"modified":"2020-07-10T13:41:57","modified_gmt":"2020-07-10T11:41:57","slug":"stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","title":{"rendered":"Budujeme model \u0159\u00edzen\u00ed p\u0159\u00edstupu. Prvn\u00ed \u010d\u00e1st, p\u0159\u00edpravn\u00e1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nyn\u00ed pracuji ve spole\u010dnosti, kter\u00e1 vyr\u00e1b\u00ed software, konkr\u00e9tn\u011b v oblasti \u0159e\u0161en\u00ed pro spr\u00e1vu p\u0159\u00edstupu. M\u016fj zku\u0161enost \"z minul\u00e9 \u00e9ry\" je spojena se z\u00e1kaznickou stranou - velkou finan\u010dn\u00ed instituc\u00ed. V t\u00e9 dob\u011b na\u0161e skupina pro kontrolu p\u0159\u00edstupu v odd\u011blen\u00ed IT bezpe\u010dnosti nemohla pochlubit velk\u00fdmi kompetencemi v IdM. Mnoho jsme se nau\u010dili b\u011bhem procesu, museli jsme si nab\u00edt hodn\u011b \u0161r\u00e1m\u016f, abychom ve spole\u010dnosti vytvo\u0159ili funk\u010dn\u00ed mechanismus pro spr\u00e1vu u\u017eivatelsk\u00fdch pr\u00e1v v informa\u010dn\u00edch syst\u00e9mech.
\n\"Budujeme
\nSv\u00e9 t\u011b\u017ece vybojovan\u00e9 zku\u0161enosti ze z\u00e1kaznick\u00e9 strany kombinuji s vendorovsk\u00fdmi znalostmi a kompetencemi a chci se s v\u00e1mi pod\u011blit o jakousi krok za krokem instrukci: jak vytvo\u0159it v velk\u00e9 spole\u010dnosti model \u0159\u00edzen\u00ed p\u0159\u00edstupu na z\u00e1klad\u011b rol\u00ed, a co to p\u0159inese. Moje instrukce se skl\u00e1d\u00e1 ze dvou \u010d\u00e1st\u00ed: prvn\u00ed \u2013 p\u0159ipravujeme se na stavbu modelu, druh\u00e1 \u2013 vlastn\u011b budujeme. P\u0159ed v\u00e1mi je prvn\u00ed \u010d\u00e1st, p\u0159\u00edpravn\u00e1.
\n<\/a><\/noindex>
\nN.B.<\/b> Vytv\u00e1\u0159en\u00ed modelu na z\u00e1klad\u011b rol\u00ed bohu\u017eel nen\u00ed v\u00fdstup, ale proces. A p\u0159esn\u011bji \u0159e\u010deno, je to \u010d\u00e1st procesu budov\u00e1n\u00ed ve spole\u010dnosti ekosyst\u00e9mu spr\u00e1vy p\u0159\u00edstupu. Tak se p\u0159ipravte na dlouhou hru.
\n<\/i>
\nNejprve si ujasn\u011bme \u2013 co vlastn\u011b znamen\u00e1 spr\u00e1va p\u0159\u00edstupu na z\u00e1klad\u011b rol\u00ed? P\u0159edstavte si, \u017ee m\u00e1te velkou banku s des\u00edtkami nebo dokonce stovkami tis\u00edc zam\u011bstnanc\u016f (subjekt\u016f), z nich\u017e ka\u017ed\u00fd m\u00e1 des\u00edtky p\u0159\u00edstupov\u00fdch pr\u00e1v do stovek vnit\u0159n\u00edch informa\u010dn\u00edch syst\u00e9m\u016f (objekt\u016f). A nyn\u00ed vyn\u00e1sobte po\u010det objekt\u016f po\u010dtem subjekt\u016f \u2013 p\u0159esn\u011b tolik vztah\u016f minimum pot\u0159ebujete nejprve vytvo\u0159it a pot\u00e9 kontrolovat. Je to mo\u017en\u00e9 ud\u011blat ru\u010dn\u011b? Samoz\u0159ejm\u011b \u017ee ne \u2013 proto byly vytvo\u0159eny role.<\/p>\n

Role je soubor opr\u00e1vn\u011bn\u00ed, kter\u00fd je pot\u0159ebn\u00fd u\u017eivateli nebo skupin\u011b u\u017eivatel\u016f k vykon\u00e1v\u00e1n\u00ed konkr\u00e9tn\u00edch pracovn\u00edch \u00fakol\u016f. Ka\u017ed\u00fd zam\u011bstnanec m\u016f\u017ee m\u00edt jednu nebo v\u00edce rol\u00ed, p\u0159i\u010dem\u017e ka\u017ed\u00e1 role m\u016f\u017ee obsahovat od jednoho do mnoha opr\u00e1vn\u011bn\u00ed, kter\u00e1 jsou u\u017eivateli povolena v r\u00e1mci t\u00e9to role. Role mohou b\u00fdt spojeny s ur\u010dit\u00fdmi pracovn\u00edmi pozicemi, odd\u011blen\u00edmi nebo funk\u010dn\u00edmi \u00fakoly zam\u011bstnanc\u016f.<\/p>\n

\"Budujeme
\n
\nRole se obvykle vytv\u00e1\u0159ej\u00ed na z\u00e1klad\u011b jednotliv\u00fdch opr\u00e1vn\u011bn\u00ed zam\u011bstnance v ka\u017ed\u00e9m informa\u010dn\u00edm syst\u00e9mu. Z rol\u00ed ka\u017ed\u00e9ho syst\u00e9mu se pot\u00e9 formuj\u00ed glob\u00e1ln\u00ed obchodn\u00ed role. Nap\u0159\u00edklad obchodn\u00ed role \u201e\u00fav\u011brov\u00fd mana\u017eer\u201c bude zahrnovat n\u011bkolik jednotliv\u00fdch rol\u00ed v informa\u010dn\u00edch syst\u00e9mech, kter\u00e9 jsou vyu\u017e\u00edv\u00e1ny v klientsk\u00e9m kancel\u00e1\u0159i banky. \u0158ekn\u011bme, v takov\u00fdch jako je hlavn\u00ed automatizovan\u00fd bankovn\u00ed syst\u00e9m, pokladn\u00ed modul, syst\u00e9m elektronick\u00e9ho ob\u011bhu dokument\u016f, servisn\u00ed mana\u017eer a jin\u00e9. Obchodn\u00ed role se obvykle v\u00e1\u017eou na organiza\u010dn\u00ed a pracovn\u00ed strukturu \u2013 jednodu\u0161e \u0159e\u010deno, na soubor odd\u011blen\u00ed spole\u010dnosti a pozic v nich. Tak se vytv\u00e1\u0159\u00ed glob\u00e1ln\u00ed rolov\u00e1 matice (p\u0159\u00edklad uv\u00e1d\u00edm v tabulce n\u00ed\u017ee).<\/p>\n

\"Budujeme
\n
\nJe t\u0159eba poznamenat, \u017ee vytvo\u0159it 100% rolov\u00fd model, zaji\u0161\u0165uj\u00edc\u00ed v\u0161echny pot\u0159ebn\u00e9 pravomoci zam\u011bstnanc\u016f na ka\u017ed\u00e9 pozici v obchodn\u00ed struktu\u0159e, je prost\u011b nemo\u017en\u00e9. A to ani nen\u00ed pot\u0159eba. V\u017edy\u0165 rolov\u00fd model nem\u016f\u017ee b\u00fdt statick\u00fd, proto\u017ee z\u00e1vis\u00ed na neust\u00e1le se m\u011bn\u00edc\u00edm prost\u0159ed\u00ed. A na zm\u011bn\u011b obchodn\u00ed \u010dinnosti spole\u010dnosti, kter\u00e1 odpov\u00eddaj\u00edc\u00edm zp\u016fsobem ovliv\u0148uje zm\u011bnu organiza\u010dn\u00ed struktury a funkcionality. A na nedostatku \u00fapln\u00e9ho zaji\u0161t\u011bn\u00ed zdroj\u016fm, a na nedodr\u017eov\u00e1n\u00ed pracovn\u00edch instrukc\u00ed, a na snaze o zisk na \u00fakor bezpe\u010dnosti, a na mnoha dal\u0161\u00edch faktorech. Proto je t\u0159eba budovat rolov\u00fd model, kter\u00fd dok\u00e1\u017ee pokr\u00fdt a\u017e 80% pot\u0159eb u\u017eivatel\u016f v pot\u0159ebn\u00fdch z\u00e1kladn\u00edch pr\u00e1vech p\u0159i jmenov\u00e1n\u00ed na pozici. A t\u011bch zb\u00fdvaj\u00edc\u00edch 20% si budou moci, pokud bude pot\u0159eba, dodate\u010dn\u011b za\u017e\u00e1dat pozd\u011bji podle jednotliv\u00fdch \u017e\u00e1dost\u00ed.<\/p>\n

Samoz\u0159ejm\u011b se m\u016f\u017eete zeptat: \u201eA co, v\u016fbec neexistuj\u00ed 100% rolov\u00e9 modely?\u201c Pro\u010d by ne, to se ob\u010das vyskytuje nap\u0159\u00edklad v neziskov\u00fdch struktur\u00e1ch, kter\u00e9 nejsou n\u00e1chyln\u00e9 k \u010dast\u00fdm zm\u011bn\u00e1m \u2013 v n\u011bjak\u00e9m v\u00fdzkumn\u00e9m institutu. Nebo v organizac\u00edch obrann\u00e9ho pr\u016fmyslu s vysokou \u00farovn\u00ed zabezpe\u010den\u00ed, kde bezpe\u010dnost je na prvn\u00edm m\u00edst\u011b. N\u011bkdy i v komer\u010dn\u00ed struktu\u0159e, ale v r\u00e1mci samostatn\u011b vybran\u00e9ho odd\u011blen\u00ed, jeho\u017e \u010dinnost je dostate\u010dn\u011b statick\u00e1 a p\u0159edv\u00eddateln\u00fd proces.<\/p>\n

Hlavn\u00ed v\u00fdhodou rolov\u00e9ho \u0159\u00edzen\u00ed je zjednodu\u0161en\u00ed ud\u011blov\u00e1n\u00ed opr\u00e1vn\u011bn\u00ed, proto\u017ee po\u010det rol\u00ed je z\u00e1sadn\u011b men\u0161\u00ed ne\u017e po\u010det u\u017eivatel\u016f informa\u010dn\u00edho syst\u00e9mu. A to plat\u00ed pro jak\u00e9koli odv\u011btv\u00ed.<\/p>\n

Vezm\u011bme si maloobchodn\u00ed spole\u010dnost: pracuj\u00ed zde tis\u00edce prodava\u010d\u016f, ale soubor pr\u00e1v v syst\u00e9mu N je pro n\u011b stejn\u00fd, a bude pro n\u011b vytvo\u0159ena pouze jedna role. Kdy\u017e do spole\u010dnosti p\u0159ijde nov\u00fd prodava\u010d, automaticky mu je p\u0159id\u011blena pot\u0159ebn\u00e1 role v syst\u00e9mu, kter\u00fd ji\u017e obsahuje v\u0161echny pot\u0159ebn\u00e9 pravomoci. Tak\u00e9 jedn\u00edm kliknut\u00edm lze zm\u011bnit pr\u00e1va pro tis\u00edce prodava\u010d\u016f najednou, nap\u0159\u00edklad p\u0159idat novou mo\u017enost pro generov\u00e1n\u00ed zpr\u00e1vy. Nen\u00ed t\u0159eba prov\u00e1d\u011bt tis\u00edc operac\u00ed a p\u0159id\u011blovat nov\u00e9 pr\u00e1vo ka\u017ed\u00e9mu \u00fa\u010dtu \u2013 sta\u010d\u00ed p\u0159idat tuto mo\u017enost k roli a ta se objev\u00ed u v\u0161ech prodava\u010d\u016f sou\u010dasn\u011b.<\/p>\n

Dal\u0161\u00ed v\u00fdhodou rolov\u00e9ho \u0159\u00edzen\u00ed je vylou\u010den\u00ed ud\u011blov\u00e1n\u00ed neslu\u010diteln\u00fdch pravomoc\u00ed. To znamen\u00e1, \u017ee zam\u011bstnanec, kter\u00fd m\u00e1 ur\u010ditou roli v syst\u00e9mu, nem\u016f\u017ee m\u00edt sou\u010dasn\u011b jinou roli, jej\u00ed\u017e pr\u00e1va by nem\u011bla b\u00fdt v souladu s pr\u00e1vy v prvn\u00ed. V\u00fdrazn\u00fdm p\u0159\u00edkladem je z\u00e1kaz kombinace funkc\u00ed zad\u00e1v\u00e1n\u00ed a kontroly finan\u010dn\u00ed operace.<\/p>\n

V\u0161ichni, kdo maj\u00ed z\u00e1jem o to, jak vlastn\u011b vzniklo rolov\u00e9 \u0159\u00edzen\u00ed p\u0159\u00edstupu, mohou
\n se pono\u0159it do exkurze do historie<\/b>
\n Pokud se pod\u00edv\u00e1me do historie, poprv\u00e9 se IT spole\u010denstv\u00ed zamyslelo nad metodami \u0159\u00edzen\u00ed p\u0159\u00edstupu ji\u017e v 70. letech 20. stolet\u00ed. A\u010dkoli aplikace byly tehdy dost jednoduch\u00e9, av\u0161ak, stejn\u011b jako dnes, v\u0161ichni cht\u011bli pohodln\u011b \u0159\u00eddit p\u0159\u00edstup k nim. Poskytov\u00e1n\u00ed, m\u011bn\u011bn\u00ed a kontrolov\u00e1n\u00ed pr\u00e1v u\u017eivatel\u016f \u2013 prost\u011b proto, aby bylo jednodu\u0161\u0161\u00ed pochopit, jak\u00fd p\u0159\u00edstup m\u00e1 ka\u017ed\u00fd z nich. Ale v t\u00e9 dob\u011b neexistovaly \u017e\u00e1dn\u00e9 obecn\u00e9 standardy, vyv\u00edjely se prvn\u00ed syst\u00e9my pro \u0159\u00edzen\u00ed p\u0159\u00edstupu a ka\u017ed\u00e1 spole\u010dnost se zakl\u00e1dala na sv\u00fdch vlastn\u00edch p\u0159edstav\u00e1ch a pravidlech.<\/p>\n

Dnes je zn\u00e1mo mnoho r\u016fzn\u00fdch model\u016f \u0159\u00edzen\u00ed p\u0159\u00edstupu, ale ty se neobjevily hned. Zam\u011b\u0159\u00edme se na ty, kter\u00e9 m\u011bly v\u00fdznamn\u00fd p\u0159\u00ednos k rozvoji t\u00e9to oblasti.<\/p>\n

Prvn\u00ed a pravd\u011bpodobn\u011b nejjednodu\u0161\u0161\u00ed model \u2013 Diskre\u010dn\u00ed (vyb\u00edrav\u00e9) \u0159\u00edzen\u00ed p\u0159\u00edstupu<\/b> (DAC \u2013 Discretionary access control). Tento model p\u0159edpokl\u00e1d\u00e1 sd\u00edlen\u00e9 vyu\u017e\u00edv\u00e1n\u00ed pr\u00e1v v\u0161emi \u00fa\u010dastn\u00edky p\u0159\u00edstupov\u00e9ho procesu. Ka\u017ed\u00fd u\u017eivatel m\u00e1 p\u0159\u00edstup k konkr\u00e9tn\u00edm objekt\u016fm nebo operac\u00edm. V podstat\u011b zde odpov\u00edd\u00e1 mno\u017estv\u00ed subjekt\u016f pr\u00e1v mno\u017estv\u00ed objekt\u016f. Tento model byl uzn\u00e1n za p\u0159\u00edli\u0161 flexibiln\u00ed a p\u0159\u00edli\u0161 slo\u017eit\u00fd pro \u00fadr\u017ebu: p\u0159\u00edstupov\u00e9 seznamy se \u010dasem st\u00e1vaj\u00ed obrovsk\u00fdmi a t\u011b\u017eko kontrolovateln\u00fdmi.<\/p>\n

Druh\u00fd model je Mandatorn\u00ed \u0159\u00edzen\u00ed p\u0159\u00edstupu (MAC \u2014 Mandatory access control)<\/b>. Podle tohoto modelu m\u00e1 ka\u017ed\u00fd u\u017eivatel p\u0159\u00edstup k objektu na z\u00e1klad\u011b stanoven\u00e9ho p\u0159\u00edstupu k ur\u010dit\u00e9mu stupni d\u016fv\u011brnosti dat. Odpov\u00eddaj\u00edc\u00edm zp\u016fsobem mus\u00ed b\u00fdt objekty kategorizov\u00e1ny podle stupn\u011b d\u016fv\u011brnosti. Na rozd\u00edl od prvn\u00edho flexibiln\u00edho modelu se tento model naopak uk\u00e1zal jako p\u0159\u00edli\u0161 p\u0159\u00edsn\u00fd a omezuj\u00edc\u00ed. Jeho aplikace se neospravedl\u0148uje, kdy\u017e m\u00e1 spole\u010dnost mnoho r\u016fzn\u00fdch informa\u010dn\u00edch zdroj\u016f: pro odd\u011blen\u00ed p\u0159\u00edstupu k r\u016fzn\u00fdm zdroj\u016fm bude nutn\u00e9 zav\u00e9st mnoho kategori\u00ed, kter\u00e9 se nebudou p\u0159ekr\u00fdvat.<\/p>\n

Vzhledem k z\u0159ejm\u00fdm nedostatk\u016fm t\u011bchto dvou metod pokra\u010dovalo IT spole\u010denstv\u00ed ve v\u00fdvoji model\u016f, kter\u00e9 byly flexibiln\u011bj\u0161\u00ed a p\u0159itom v\u00edce \u010di m\u00e9n\u011b univerz\u00e1ln\u00ed pro podporu r\u016fzn\u00fdch typ\u016f organiza\u010dn\u00edch politik \u0159\u00edzen\u00ed p\u0159\u00edstupu. A pr\u00e1v\u011b tehdy se objevila t\u0159et\u00ed model \u0159\u00edzen\u00ed p\u0159\u00edstupu na z\u00e1klad\u011b rol\u00ed!<\/b> Tento p\u0159\u00edstup se uk\u00e1zal jako nejperspektivn\u011bj\u0161\u00ed, proto\u017ee vy\u017eaduje nejen autorizaci identity u\u017eivatele, ale i jeho pracovn\u00ed funkce v syst\u00e9mech.<\/p>\n

Prvn\u00ed jasn\u011b popsanou strukturu rolov\u00e9ho modelu navrhli ameri\u010dt\u00ed v\u011bdci David Ferraiolo a Richard Kuhn z N\u00e1rodn\u00edho institutu standard\u016f a technologi\u00ed USA v roce 1992. Tehdy se poprv\u00e9 objevil term\u00edn RBAC (Role-based access control). <\/b>Tyto v\u00fdzkumy a popisy z\u00e1kladn\u00edch komponent\u016f, jako\u017e i jejich vz\u00e1jemn\u00e9 vztahy se staly z\u00e1kladem aktu\u00e1ln\u00edho standardu INCITS 359-2012, schv\u00e1len\u00e9ho Mezin\u00e1rodn\u00edm v\u00fdborem pro standardy informa\u010dn\u00edch technologi\u00ed (INCITS).<\/p>\n

Norma definuje roli jako \u201epracovn\u00ed funkci v kontextu organizace s ur\u010ditou souvisej\u00edc\u00ed s\u00e9mantikou t\u00fdkaj\u00edc\u00ed se pravomoc\u00ed a odpov\u011bdnosti, kter\u00e9 jsou ulo\u017eeny u\u017eivateli p\u0159i\u0159azen\u00e9mu k roli\u201c. Dokument stanovuje z\u00e1kladn\u00ed prvky RBAC \u2013 u\u017eivatel\u00e9, relace, role, opr\u00e1vn\u011bn\u00ed, operace a objekty, stejn\u011b jako vztahy a vz\u00e1jemn\u00e9 vztahy mezi nimi.<\/p>\n

Ve standardu je uvedena minim\u00e1ln\u011b pot\u0159ebn\u00e1 struktura pro vytvo\u0159en\u00ed modelu rol\u00ed \u2013 slou\u010den\u00ed opr\u00e1vn\u011bn\u00ed do rol\u00ed a pot\u00e9 poskytov\u00e1n\u00ed p\u0159\u00edstupu u\u017eivatel\u016fm prost\u0159ednictv\u00edm t\u011bchto rol\u00ed. Jsou definov\u00e1ny mechanismy pro sestaven\u00ed rol\u00ed z objekt\u016f a operac\u00ed, pops\u00e1na hierarchie rol\u00ed a d\u011bd\u011bn\u00ed pravomoc\u00ed. Ka\u017ed\u00e1 spole\u010dnost m\u00e1 role, kter\u00e9 spojuj\u00ed z\u00e1kladn\u00ed pravomoci, kter\u00e9 jsou pot\u0159ebn\u00e9 v\u0161em zam\u011bstnanc\u016fm spole\u010dnosti. M\u016f\u017ee to b\u00fdt p\u0159\u00edstup k e-mailu, k informa\u010dn\u00edmu syst\u00e9mu, k firemn\u00edmu port\u00e1lu atd. Tato opr\u00e1vn\u011bn\u00ed lze zahrnout do jedn\u00e9 spole\u010dn\u00e9 role nazvan\u00e9 \u201ezam\u011bstnanec\u201c, a nebude nutn\u00e9 v ka\u017ed\u00e9 z rol\u00ed na vy\u0161\u0161\u00ed \u00farovni opakovan\u011b uv\u00e1d\u011bt v\u0161echna z\u00e1kladn\u00ed pr\u00e1va. Sta\u010d\u00ed jen uv\u00e9st znak d\u011bd\u011bn\u00ed role \u201ezam\u011bstnanec\u201c.<\/p>\n

\"Budujeme
\n
\nPozd\u011bji byl standard dopln\u011bn o nov\u00e9 p\u0159\u00edstupov\u00e9 atributy souvisej\u00edc\u00ed s neust\u00e1le se m\u011bn\u00edc\u00edm prost\u0159ed\u00edm. Byla p\u0159id\u00e1na mo\u017enost zav\u00e1d\u011bn\u00ed statick\u00fdch a dynamick\u00fdch omezen\u00ed. Statick\u00e1 znamenaj\u00ed nemo\u017enost slu\u010dov\u00e1n\u00ed rol\u00ed (ten sam\u00fd vstup a kontrola operac\u00ed, zm\u00edn\u011bn\u00e1 v\u00fd\u0161e). Dynamick\u00e1 omezen\u00ed mohou b\u00fdt ur\u010dena m\u011bn\u00edc\u00edmi se parametry, nap\u0159\u00edklad \u010dasem (pracovn\u00ed\/nepracovn\u00ed hodiny nebo dny), um\u00edst\u011bn\u00edm (kancel\u00e1\u0159\/dom\u016f) atd.<\/p>\n

Samostatn\u011b stoj\u00ed za zm\u00ednku \u0159\u00edzen\u00ed p\u0159\u00edstupu zalo\u017een\u00e9 na atributech (ABAC \u2014 \u0159\u00edzen\u00ed p\u0159\u00edstupu zalo\u017een\u00e9 na atributech).<\/b> P\u0159\u00edstup je postaven na poskytov\u00e1n\u00ed p\u0159\u00edstupu pomoc\u00ed pravidel sd\u00edlen\u00ed atribut\u016f. Tento model m\u016f\u017ee b\u00fdt pou\u017e\u00edv\u00e1n samostatn\u011b, ale velmi \u010dasto aktivn\u011b dopl\u0148uje klasick\u00fd rolov\u00fd: k ur\u010dit\u00e9 roli je mo\u017en\u00e9 p\u0159id\u00e1vat atributy u\u017eivatel\u016f, zdroj\u016f a za\u0159\u00edzen\u00ed, stejn\u011b jako vymezen\u00ed \u010dasu nebo m\u00edsta. To umo\u017e\u0148uje pou\u017e\u00edt m\u00e9n\u011b rol\u00ed, zav\u00e1d\u011bt dal\u0161\u00ed omezen\u00ed a u\u010dinit p\u0159\u00edstup minim\u00e1ln\u011b dosta\u010duj\u00edc\u00edm, \u010d\u00edm\u017e se zvy\u0161uje bezpe\u010dnost.<\/p>\n

Nap\u0159\u00edklad \u00fa\u010detn\u00ed m\u016f\u017ee m\u00edt p\u0159\u00edstup k \u00fa\u010dt\u016fm, pokud pracuje v ur\u010dit\u00e9m regionu. Pot\u00e9 bude um\u00edst\u011bn\u00ed specialisty porovn\u00e1v\u00e1no s konkr\u00e9tn\u00ed referen\u010dn\u00ed hodnotou. Nebo m\u016f\u017ee m\u00edt p\u0159\u00edstup k \u00fa\u010dt\u016fm pouze v p\u0159\u00edpad\u011b, \u017ee se u\u017eivatel autorizuje z za\u0159\u00edzen\u00ed, kter\u00e9 je zaps\u00e1no v registru povolen\u00fdch. Dobr\u00e9 dopln\u011bn\u00ed k rolov\u00e9 modelu, ale samostatn\u011b se pou\u017e\u00edv\u00e1 m\u00e1lo kv\u016fli nutnosti vytv\u00e1\u0159et mnoho pravidel a tabulek opr\u00e1vn\u011bn\u00ed nebo omezen\u00ed.<\/p>\n

Uvedu p\u0159\u00edklad pou\u017eit\u00ed ABAC z m\u00e9 \"minul\u00e9 kari\u00e9ry\". V na\u0161\u00ed bance bylo n\u011bkolik pobo\u010dek. Zam\u011bstnanci klientsk\u00fdch kancel\u00e1\u0159\u00ed v t\u011bchto pobo\u010dk\u00e1ch prov\u00e1d\u011bli naprosto shodn\u00e9 operace, ale m\u011bli pracovat v hlavn\u00edm syst\u00e9mu pouze s \u00fa\u010dty sv\u00e9 regionu. Nejprve jsme za\u010dali vytv\u00e1\u0159et samostatn\u00e9 role pro ka\u017ed\u00fd region \u2013 a takov\u00fdch rol\u00ed s opakuj\u00edc\u00ed se funkcionalitou, ale s p\u0159\u00edstupem k r\u016fzn\u00fdm \u00fa\u010dt\u016fm, vzniklo opravdu velk\u00e9 mno\u017estv\u00ed! Pot\u00e9, co jsme pou\u017eili atribut um\u00edst\u011bn\u00ed pro u\u017eivatele a spojili ho s konkr\u00e9tn\u00edm rozsahem \u00fa\u010dt\u016f pro kontrolu, jsme v\u00fdrazn\u011b sn\u00ed\u017eili po\u010det rol\u00ed v syst\u00e9mu. V d\u016fsledku toho zbyly role pouze pro jednu pobo\u010dku, kter\u00e9 se duplikovaly na odpov\u00eddaj\u00edc\u00ed pozice ve v\u0161ech ostatn\u00edch teritori\u00e1ln\u00edch pod\u0159\u00edzen\u00edch banky.<\/p>\n

A nyn\u00ed si pov\u011bzme o nezbytn\u00fdch p\u0159\u00edpravn\u00fdch kroc\u00edch, bez kter\u00fdch nen\u00ed mo\u017en\u00e9 vytvo\u0159it funk\u010dn\u00ed rolov\u00fd model.<\/p>\n

Krok 1. Vytv\u00e1\u0159\u00edme funk\u010dn\u00ed model<\/h2>\n

\nZa\u010dn\u011bte vytvo\u0159en\u00edm funk\u010dn\u00edho modelu \u2013 vysoce \u00farov\u0148ov\u00e9ho dokumentu, kter\u00fd podrobn\u011b popisuje funk\u010dnost ka\u017ed\u00e9ho odd\u011blen\u00ed a ka\u017ed\u00e9 pozice. Informace do n\u011bj obvykle p\u0159ich\u00e1zej\u00ed z r\u016fzn\u00fdch dokument\u016f: popis\u016f pracovn\u00edch povinnost\u00ed a p\u0159edpis\u016f pro jednotliv\u00e1 odd\u011blen\u00ed \u2013 odd\u011blen\u00ed, spr\u00e1vy, \u00fa\u0159ady. Funk\u010dn\u00ed model mus\u00ed b\u00fdt schv\u00e1len v\u0161emi zainteresovan\u00fdmi odd\u011blen\u00edmi (byznys, intern\u00ed kontrola, bezpe\u010dnost) a schv\u00e1len veden\u00edm spole\u010dnosti. K \u010demu je tento dokument pot\u0159eba? Aby se na n\u011bj mohla odkazovat rolov\u00e1 model. Nap\u0159\u00edklad pl\u00e1nujete vytvo\u0159it rolov\u00fd model na z\u00e1klad\u011b ji\u017e existuj\u00edc\u00edch pr\u00e1v zam\u011bstnanc\u016f \u2013 exportovan\u00fdch ze syst\u00e9mu a \u201ep\u0159iveden\u00fdch k jednotn\u00e9mu jmenovateli\u201c. Pak, p\u0159i schvalov\u00e1n\u00ed z\u00edskan\u00fdch rol\u00ed s byznys vlastn\u00edkem syst\u00e9mu, m\u016f\u017eete odk\u00e1zat na konkr\u00e9tn\u00ed bod funk\u010dn\u00edho modelu, na jeho\u017e z\u00e1klad\u011b je do role zahrnuto konkr\u00e9tn\u00ed pr\u00e1vo.<\/p>\n

Krok 2. Prov\u00e1d\u00edme audit IT syst\u00e9m\u016f a sestavujeme pl\u00e1n prioritizace<\/h2>\n

\nVe druh\u00e9 f\u00e1zi je nutn\u00e9 prov\u00e9st audit IT syst\u00e9m\u016f, abychom pochopili, jak je organizov\u00e1n p\u0159\u00edstup do nich. Nap\u0159\u00edklad v m\u00e9 finan\u010dn\u00ed spole\u010dnosti se provozovalo n\u011bkolik stovek informa\u010dn\u00edch syst\u00e9m\u016f. Ve v\u0161ech syst\u00e9mech byly ur\u010dit\u00e9 z\u00e1klady rolov\u00e9ho \u0159\u00edzen\u00ed, v v\u011bt\u0161in\u011b \u2013 n\u011bjak\u00e9 role, ale v\u011bt\u0161inou na pap\u00ed\u0159e nebo v odkazu syst\u00e9mu \u2013 tyto byly ji\u017e dlouho zastaral\u00e9 a p\u0159\u00edstup k nim byl ud\u011blov\u00e1n na z\u00e1klad\u011b skute\u010dn\u00fdch po\u017eadavk\u016f u\u017eivatel\u016f. Samoz\u0159ejm\u011b, vybudovat rolov\u00fd model najednou ve stovk\u00e1ch syst\u00e9m\u016f je prost\u011b nemo\u017en\u00e9, je t\u0159eba za\u010d\u00edt n\u011b\u010d\u00edm. Provedli jsme hloubkovou anal\u00fdzu procesu \u0159\u00edzen\u00ed p\u0159\u00edstupu, abychom ur\u010dili \u00farove\u0148 jeho zralosti. V pr\u016fb\u011bhu anal\u00fdzy jsme vypracovali krit\u00e9ria prioritizace informa\u010dn\u00edch syst\u00e9m\u016f \u2013 kriti\u010dnost, p\u0159ipravenost, pl\u00e1ny na vy\u0159azen\u00ed z provozu atd. Pomoc\u00ed t\u011bchto jsme stanovili po\u0159ad\u00ed v\u00fdvoje\/aktualizace rolov\u00fdch model\u016f pro tyto syst\u00e9my. A pot\u00e9 \u2013 za\u0159adili jsme rolov\u00e9 modely do pl\u00e1nu integrace s \u0159e\u0161en\u00edm pro \u0159\u00edzen\u00ed identity, abychom automatizovali \u0159\u00edzen\u00ed p\u0159\u00edstupu.<\/p>\n

Jak tedy ur\u010dit kriti\u010dnost syst\u00e9mu? Odpov\u011bzte si na n\u00e1sleduj\u00edc\u00ed ot\u00e1zky:<\/p>\n