{"id":87793,"date":"2020-07-10T13:41:57","date_gmt":"2020-07-10T11:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya"},"modified":"2020-07-10T13:41:57","modified_gmt":"2020-07-10T11:41:57","slug":"stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","title":{"rendered":"K\u00e9sz\u00edt\u00fcnk egy szerep-alap\u00fa hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1si modellt. Els\u0151 r\u00e9sz, el\u0151k\u00e9sz\u00edt\u0151","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Jelenleg egy szoftvergy\u00e1rt\u00f3 c\u00e9gn\u00e9l dolgozom, k\u00fcl\u00f6n\u00f6sen a hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1si megold\u00e1sok ter\u00fclet\u00e9n. Kor\u00e1bbi tapasztalataim egy \u00fcgyf\u00e9loldali nagy p\u00e9nz\u00fcgyi szervezethez k\u00f6t\u0151dnek. Akkoriban az inform\u00e1ci\u00f3biztons\u00e1gi oszt\u00e1lyunk hozz\u00e1f\u00e9r\u00e9s-ellen\u0151rz\u00e9si csoportja nem b\u00fcszk\u00e9lkedhetett nagy IdM kompetenci\u00e1kkal. Sok mindent a folyamat sor\u00e1n tanultunk meg, \u00e9s sz\u00e1mos hib\u00e1t elk\u00f6vettek, hogy m\u0171k\u00f6d\u0151 felhaszn\u00e1l\u00f3i jogkezel\u00e9si mechanizmust alak\u00edtsunk ki a v\u00e1llalatban.
\n\"K\u00e9sz\u00edt\u00fcnk
\n\u00d6sszekapcsolva az \u00fcgyf\u00e9loldalon szerzett tapasztalataimat a gy\u00e1rt\u00f3i tud\u00e1ssal \u00e9s kompetenci\u00e1kkal, szeretn\u00e9m megosztani veletek a l\u00e9nyeg\u00e9ben l\u00e9p\u00e9sr\u0151l l\u00e9p\u00e9sre sz\u00f3l\u00f3 \u00fatmutat\u00f3mat: hogyan lehet egy nagyv\u00e1llalatban szerep-alap\u00fa hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1si modellt l\u00e9trehozni, \u00e9s hogy ez milyen el\u0151ny\u00f6ket hoz a v\u00e9g\u00e9n. Az \u00fatmutat\u00f3m k\u00e9t r\u00e9szb\u0151l \u00e1ll: az els\u0151 az el\u0151k\u00e9sz\u00fcletek k\u00e9sz\u00edt\u00e9se, a m\u00e1sodik pedig a t\u00e9nyleges \u00e9p\u00edt\u00e9s. \u00d6n\u00f6k el\u0151tt \u00e1ll az el\u0151k\u00e9sz\u00edt\u0151 els\u0151 r\u00e9sz.
\n<\/a><\/noindex>
\nFigyelem.<\/b> A szerep-alap\u00fa modell fel\u00e9p\u00edt\u00e9se sajnos nem eredm\u00e9ny, hanem egy folyamat. Pontosabban a c\u00e9gben a hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1si \u00f6kosziszt\u00e9ma l\u00e9trehoz\u00e1s\u00e1nak egy r\u00e9sze. Teh\u00e1t k\u00e9sz\u00fcljetek fel a hossz\u00fa t\u00e1v\u00fa j\u00e1t\u00e9kra.
\n<\/i>
\nEl\u0151sz\u00f6r n\u00e9zz\u00fck meg, hogy mi is a szerep-alap\u00fa hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1s? Tegy\u00fck fel, hogy van egy nagy bankja, amelynek t\u00f6bb t\u00edzezer, vagy ak\u00e1r sz\u00e1zezer alkalmazottja (alany) van, mindegyik\u00fck sz\u00e1mos hozz\u00e1f\u00e9r\u00e9si joggal rendelkezik a banki inform\u00e1ci\u00f3s rendszerek (objektumok) sz\u00e1zain. Most pedig szorozzuk meg az objektumok sz\u00e1m\u00e1t az alanyok sz\u00e1m\u00e1val \u2013 pontosan ennyi kapcsolatot kell el\u0151sz\u00f6r fel\u00e9p\u00edten\u00fcnk, majd ellen\u0151rizn\u00fcnk. Lehets\u00e9ges ezt manu\u00e1lisan megtenni? Term\u00e9szetesen nem \u2013 ez\u00e9rt j\u00f6ttek l\u00e9tre a szerepek.<\/p>\n

A szerep egy olyan jogosults\u00e1gk\u00e9szlet, amely sz\u00fcks\u00e9ges egy felhaszn\u00e1l\u00f3 vagy felhaszn\u00e1l\u00f3i csoport sz\u00e1m\u00e1ra bizonyos munkafeladatok elv\u00e9gz\u00e9s\u00e9hez. Minden alkalmazott rendelkezhet egy vagy t\u00f6bb szereppel, \u00e9s minden szerep tartalmazhat egy vagy t\u00f6bb jogosults\u00e1got, amelyet a felhaszn\u00e1l\u00f3 a szerep keretein bel\u00fcl gyakorolhat. A szerepek kapcsol\u00f3dhatnak bizonyos poz\u00edci\u00f3khoz, r\u00e9szlegekhez vagy a munkav\u00e1llal\u00f3k funkcion\u00e1lis feladataihoz.<\/p>\n

\"K\u00e9sz\u00edt\u00fcnk
\n
\nA szerepek \u00e1ltal\u00e1ban a dolgoz\u00f3k k\u00fcl\u00f6nb\u00f6z\u0151 jogos\u00edtv\u00e1nyaib\u00f3l j\u00f6nnek l\u00e9tre minden inform\u00e1ci\u00f3s rendszerben. Ezut\u00e1n a minden rendszer szerepeib\u0151l glob\u00e1lis \u00fczleti szerepek alakulnak. P\u00e9ld\u00e1ul az \u00fczleti szerep 'hitelmenedzser' sz\u00e1mos k\u00fcl\u00f6n\u00e1ll\u00f3 szerepet foglal mag\u00e1ban az \u00fcgyf\u00e9lszolg\u00e1lat t\u00f6bbs\u00e9g\u00e9ben haszn\u00e1lt inform\u00e1ci\u00f3s rendszerekben. Mondjuk, mint a f\u0151 automatiz\u00e1lt banki rendszer, a p\u00e9nzt\u00e1ri modul, a elektronikus dokumentumkezel\u0151 rendszer, a szolg\u00e1ltat\u00e1smenedzser \u00e9s egy\u00e9b. Az \u00fczleti szerepeket \u00e1ltal\u00e1ban a szervezeti fel\u00e9p\u00edt\u00e9shez k\u00f6tik - egyszer\u0171bben fogalmazva, a c\u00e9g r\u00e9szlegeihez \u00e9s az azokban foglalt poz\u00edci\u00f3khoz. \u00cdgy alakul ki a glob\u00e1lis szerepm\u00e1trix (p\u00e9lda l\u00e1that\u00f3 az al\u00e1bbi t\u00e1bl\u00e1zatban).<\/p>\n

\"K\u00e9sz\u00edt\u00fcnk
\n
\nFontos megjegyezni, hogy lehetetlen 100%-os szerepmint\u00e1t fel\u00e9p\u00edteni, amely minden sz\u00fcks\u00e9ges jogos\u00edtv\u00e1nnyal rendelkezik az alkalmazottak minden poz\u00edci\u00f3j\u00e1ban a kereskedelmi strukt\u00far\u00e1ban. Ez nem is sz\u00fcks\u00e9ges. Ugyanis a szerepminta nem lehet statikus, mivel az \u00e1lland\u00f3an v\u00e1ltoz\u00f3 k\u00f6rnyezett\u0151l f\u00fcgg. \u00c9s a c\u00e9g \u00fczleti tev\u00e9kenys\u00e9g\u00e9nek v\u00e1ltoz\u00e1s\u00e1t\u00f3l, amely ennek megfelel\u0151en befoly\u00e1solja a szervezeti strukt\u00far\u00e1t \u00e9s a funkci\u00f3kat. Tov\u00e1bb\u00e1 a forr\u00e1shi\u00e1ny \u00e9s a munkak\u00f6ri le\u00edr\u00e1sok be nem tart\u00e1sa, a biztons\u00e1g rov\u00e1s\u00e1ra t\u00f6rt\u00e9n\u0151 nyeres\u00e9gszerz\u00e9s, valamint sok m\u00e1s t\u00e9nyez\u0151 is k\u00f6zrej\u00e1tszik. Ez\u00e9rt olyan szerepmint\u00e1t kell kialak\u00edtani, amely ak\u00e1r a felhaszn\u00e1l\u00f3k alapvet\u0151 jogainak 80%-\u00e1t is fedezni tudja, amikor a poz\u00edci\u00f3jukra kinevezik \u0151ket. A fennmarad\u00f3 20%-ot pedig, ha sz\u00fcks\u00e9ges, k\u00e9s\u0151bb k\u00fcl\u00f6nf\u00e9le k\u00e9relmek alapj\u00e1n k\u00e9rhetik.<\/p>\n

Term\u00e9szetesen felmer\u00fclhet a k\u00e9rd\u00e9s: \"Nem l\u00e9tezik egy\u00e1ltal\u00e1n 100%-os szerepminta?\" De mi\u00e9rt ne l\u00e9tezne, ilyen el\u0151fordulhat p\u00e9ld\u00e1ul a nonprofit strukt\u00far\u00e1kban, amelyek nem szenvednek gyakori v\u00e1ltoz\u00e1sokt\u00f3l - p\u00e9ld\u00e1ul egy kutat\u00f3int\u00e9zetben. Vagy a magas fok\u00fa v\u00e9detts\u00e9ggel rendelkez\u0151 v\u00e9delmi ipari szervezetekben, ahol a biztons\u00e1g els\u0151dleges szempont. Persze l\u00e9tezik ilyen kereskedelmi strukt\u00far\u00e1kban is, de csak egy adott r\u00e9szlegen bel\u00fcl, amelynek m\u0171k\u00f6d\u00e9se viszonylag statikus \u00e9s el\u0151rejelezhet\u0151 folyamat.<\/p>\n

A szerepelv\u00e9gz\u00e9s f\u0151 el\u0151nye a jogos\u00edtv\u00e1nyok egyszer\u0171s\u00edt\u00e9se, mivel a szerepek sz\u00e1ma jelent\u0151sen kevesebb, mint az inform\u00e1ci\u00f3s rendszer felhaszn\u00e1l\u00f3inak sz\u00e1ma. Ez minden ipar\u00e1gra \u00e9rv\u00e9nyes.<\/p>\n

Vegy\u00fck egy kiskereskedelmi c\u00e9g p\u00e9ld\u00e1j\u00e1t: t\u00f6bb ezer elad\u00f3 dolgozik benne, de mindannyian ugyanazokkal a jogosults\u00e1gokkal rendelkeznek a N rendszerben, \u00e9s sz\u00e1mukra csak egyetlen szerepk\u00f6rt hoznak l\u00e9tre. Ha \u00faj elad\u00f3 \u00e9rkezik a c\u00e9ghez, neki automatikusan kijel\u00f6l\u00e9sre ker\u00fcl a megfelel\u0151 szerepk\u00f6r a rendszerben, amiben m\u00e1r benne vannak az \u00f6sszes sz\u00fcks\u00e9ges jogosults\u00e1g. Egy kattint\u00e1ssal meg lehet v\u00e1ltoztatni a jogosults\u00e1gokat ak\u00e1r ezer elad\u00f3 eset\u00e9ben is, p\u00e9ld\u00e1ul \u00faj jelent\u00e9sk\u00e9sz\u00edt\u00e9si lehet\u0151s\u00e9get hozz\u00e1adni. Nem kell ezer m\u0171veletet v\u00e9gezni, hogy az \u00faj jogosults\u00e1got minden egyes felhaszn\u00e1l\u00f3i fi\u00f3khoz hozz\u00e1rendelje \u2013 elegend\u0151 ezt a lehet\u0151s\u00e9get a szerepk\u00f6rbe beilleszteni, \u00e9s m\u00e1ris mindegyik elad\u00f3 hozz\u00e1f\u00e9r\u00e9se egyid\u0151ben friss\u00fcl.<\/p>\n

A szerepk\u00f6r-alap\u00fa ir\u00e1ny\u00edt\u00e1s egy m\u00e1sik el\u0151nye a nem \u00f6sszeegyeztethet\u0151 jogosults\u00e1gok kiad\u00e1s\u00e1nak kiz\u00e1r\u00e1sa. Vagyis az a munkav\u00e1llal\u00f3, aki egy bizonyos szerepk\u00f6rrel rendelkezik a rendszerben, nem lehet egyszerre m\u00e1s szerepk\u00f6rben, amelynek jogosults\u00e1gai nem kompatibilisek az els\u0151 szerepk\u00f6r\u00e9vel. Egy vil\u00e1gos p\u00e9lda \u2013 a p\u00e9nz\u00fcgyi m\u0171veletek bevitel\u00e9nek \u00e9s ellen\u0151rz\u00e9s\u00e9nek funkci\u00f3inak \u00f6sszevon\u00e1s\u00e1nak tilalma.<\/p>\n

Mindenki, akit \u00e9rdekel, hogyan alakult meg az szerepk\u00f6r-alap\u00fa hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1s,
\n belev\u00e1ghat egy t\u00f6rt\u00e9nelmi \u00e1ttekint\u00e9sbe<\/b>
\n Ha visszatekint\u00fcnk a m\u00faltba, az IT-k\u00f6z\u00f6ss\u00e9g el\u0151sz\u00f6r az 1970-es \u00e9vekben kezdett el gondolkodni a hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1si m\u00f3dszereken. B\u00e1r a programok akkoriban el\u00e9g egyszer\u0171ek voltak, de ak\u00e1rcsak ma, mindenki k\u00e9nyelmesen k\u00edv\u00e1nta kezelni a hozz\u00e1f\u00e9r\u00e9seket. A felhaszn\u00e1l\u00f3i jogosults\u00e1gok megad\u00e1sa, m\u00f3dos\u00edt\u00e1sa \u00e9s ellen\u0151rz\u00e9se \u2013 csak hogy k\u00f6nnyebb legyen meg\u00e9rteni, kinek milyen hozz\u00e1f\u00e9r\u00e9se van. De akkoriban nem l\u00e9teztek \u00e1ltal\u00e1nos szabv\u00e1nyok, az els\u0151 hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1si rendszerek fejleszt\u00e9se zajlott, \u00e9s minden c\u00e9g a saj\u00e1t elk\u00e9pzel\u00e9sein \u00e9s szab\u00e1lyain alapult.<\/p>\n

Ma m\u00e1r sok k\u00fcl\u00f6nb\u00f6z\u0151 hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1si modell ismert, de ezek nem azonnal jelentek meg. Azokra a modellekre koncentr\u00e1lunk, amelyek \u00e9rz\u00e9keny hozz\u00e1j\u00e1rul\u00e1st adtak ennek a ter\u00fcletnek a fejl\u0151d\u00e9s\u00e9hez.<\/p>\n

Az els\u0151 \u00e9s val\u00f3sz\u00edn\u0171leg legegyszer\u0171bb modell \u2013 Diszkrecion\u00e1lis (v\u00e1laszt\u00f3) hozz\u00e1f\u00e9r\u00e9s-ir\u00e1ny\u00edt\u00e1s<\/b> (DAC \u2013 Diszkretion\u00e1lis hozz\u00e1f\u00e9r\u00e9s-vez\u00e9rl\u00e9s). Ez a modell a jogok k\u00f6z\u00f6s haszn\u00e1lat\u00e1t felt\u00e9telezi a hozz\u00e1f\u00e9r\u00e9si folyamat minden r\u00e9sztvev\u0151je k\u00f6z\u00f6tt. Minden felhaszn\u00e1l\u00f3 hozz\u00e1f\u00e9r\u00e9st kap konkr\u00e9t objektumokhoz vagy m\u0171veletekhez. L\u00e9nyeg\u00e9ben itt a jogalanyok sz\u00e1ma megegyezik az objektumok sz\u00e1m\u00e1val. E modellt t\u00fal rugalmasnak \u00e9s nehezen karbantarthat\u00f3nak nyilv\u00e1n\u00edtott\u00e1k: a hozz\u00e1f\u00e9r\u00e9si list\u00e1k id\u0151vel hatalmasak \u00e9s nehezen ellen\u0151rizhet\u0151k lesznek.<\/p>\n

A m\u00e1sodik modell a K\u00e9nyszer\u00edtett hozz\u00e1f\u00e9r\u00e9s-vez\u00e9rl\u00e9s (MAC \u2014 Mandatory access control)<\/b>. E modell szerint minden felhaszn\u00e1l\u00f3 hozz\u00e1f\u00e9r\u00e9st kap egy objektumhoz az alapj\u00e1n, hogy milyen enged\u00e9llyel rendelkezik az adatok adott szint\u0171 titkoss\u00e1g\u00e1ra. Ennek megfelel\u0151en az objektumokat a titkoss\u00e1g szintje szerint kell kategoriz\u00e1lni. Ahelyett, hogy az els\u0151, rugalmas modellhez hasonl\u00edtana, ez a modell t\u00fal szigor\u00fa \u00e9s korl\u00e1toz\u00f3 volt. Alkalmaz\u00e1sa nem indokolt, amikor a v\u00e1llalat sz\u00e1m\u00e1ra sz\u00e1mos k\u00fcl\u00f6nb\u00f6z\u0151 inform\u00e1ci\u00f3s er\u0151forr\u00e1s \u00e1ll rendelkez\u00e9sre: a k\u00fcl\u00f6nb\u00f6z\u0151 er\u0151forr\u00e1sokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s korl\u00e1toz\u00e1s\u00e1hoz sz\u00e1mos kateg\u00f3ri\u00e1t kell bevezetni, amelyek nem \u00fctk\u00f6znek egym\u00e1ssal.<\/p>\n

A k\u00e9t m\u00f3dszer nyilv\u00e1nval\u00f3 t\u00f6k\u00e9letlens\u00e9ge miatt az IT k\u00f6z\u00f6ss\u00e9g folytatta a modellek fejleszt\u00e9s\u00e9t, amelyek rugalmasabbak \u00e9s m\u00e9gis viszonylag univerz\u00e1lisak a k\u00fcl\u00f6nb\u00f6z\u0151 t\u00edpus\u00fa szervezeti hozz\u00e1f\u00e9r\u00e9s-ellen\u0151rz\u00e9si politik\u00e1k t\u00e1mogat\u00e1s\u00e1ra. \u00cdgy jelent meg a harmadik szerepk\u00f6nyvbeli hozz\u00e1f\u00e9r\u00e9s-vez\u00e9rl\u00e9s modellen alapul\u00f3 m\u00f3dszer!<\/b> Ez a megk\u00f6zel\u00edt\u00e9s a leg\u00edg\u00e9retesebbnek bizonyult, mivel nemcsak a felhaszn\u00e1l\u00f3 szem\u00e9lyazonoss\u00e1g\u00e1nak azonos\u00edt\u00e1s\u00e1t, hanem a munkak\u00f6reit is megk\u00f6veteli a rendszerekben.<\/p>\n

Az els\u0151 vil\u00e1gosan le\u00edrt szerepk\u00f6nyvbeli modell strukt\u00far\u00e1j\u00e1t az amerikai tud\u00f3sok, David Ferraiolo \u00e9s Richard Kuhn, a Sz\u00f6vets\u00e9gi Szabv\u00e1ny\u00fcgyi \u00e9s Technol\u00f3giai Int\u00e9zetb\u0151l javasolt\u00e1k 1992-ben. Ekkor jelent meg el\u0151sz\u00f6r a kifejez\u00e9s RBAC (Szereken alapul\u00f3 hozz\u00e1f\u00e9r\u00e9s-vez\u00e9rl\u00e9s). <\/b>E kutat\u00e1sok \u00e9s a f\u0151 \u00f6sszetev\u0151k, valamint azok k\u00f6lcs\u00f6nhat\u00e1s\u00e1nak le\u00edr\u00e1sa k\u00e9pezte a ma is \u00e9rv\u00e9nyben l\u00e9v\u0151 INCITS 359-2012 szabv\u00e1ny alapj\u00e1t, amelyet az Informatikai Szabv\u00e1nyok Nemzetk\u00f6zi Bizotts\u00e1ga (INCITS) hagyott j\u00f3v\u00e1.<\/p>\n

A szabv\u00e1ny a szerepet \u00fagy hat\u00e1rozza meg, mint \"a szervezeten bel\u00fcli munkak\u00f6ri funkci\u00f3t, amelynek bizonyos kapcsol\u00f3d\u00f3 szemantik\u00e1ja van a felhaszn\u00e1l\u00f3ra ruh\u00e1zott hat\u00e1sk\u00f6r\u00f6kkel \u00e9s felel\u0151ss\u00e9gekkel kapcsolatban, aki a szerepet bet\u00f6lti\". A dokumentum meghat\u00e1rozza az RBAC (Role-Based Access Control) alapvet\u0151 elemeit \u2013 felhaszn\u00e1l\u00f3k, munkamenetek, szerepek, enged\u00e9lyek, m\u0171veletek \u00e9s objektumok, valamint a k\u00f6z\u00f6tt\u00fck l\u00e9v\u0151 kapcsolatok \u00e9s viszonyok.<\/p>\n

A szabv\u00e1ny minimaliz\u00e1lt strukt\u00far\u00e1t ad a szerepk\u00f6r modellj\u00e9nek fel\u00e9p\u00edt\u00e9s\u00e9hez \u2013 a jogosults\u00e1gok szerepekbe val\u00f3 \u00f6sszevon\u00e1s\u00e1hoz, majd pedig ezeknek a szerepeknek a felhaszn\u00e1l\u00f3khoz val\u00f3 kioszt\u00e1s\u00e1hoz. Megjel\u00f6li a szerepek objektumokb\u00f3l \u00e9s m\u0171veletekb\u0151l val\u00f3 \u00f6ssze\u00e1ll\u00edt\u00e1s\u00e1nak mechanizmusait, le\u00edrja a szerepek hierarchi\u00e1j\u00e1t \u00e9s a hat\u00e1sk\u00f6r\u00f6k \u00f6r\u00f6kl\u00e9s\u00e9t. \u00dczleti k\u00f6rnyezetben minden c\u00e9gn\u00e9l vannak olyan szerepek, amelyek \u00f6sszegy\u0171jtik az alapvet\u0151 hat\u00e1sk\u00f6r\u00f6ket, amelyekre a c\u00e9g \u00f6sszes alkalmazottj\u00e1nak sz\u00fcks\u00e9ge van. Ilyen lehet p\u00e9ld\u00e1ul az e-mailhez, az elektronikus dokumentumkezel\u0151 rendszerhez (EDMS) vagy a v\u00e1llalati port\u00e1lhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s. Ezeket a hat\u00e1sk\u00f6r\u00f6ket egy k\u00f6z\u00f6s szerepbe, p\u00e9ld\u00e1ul az \"alkalmazott\" szerepbe foglalhatjuk, \u00e9s nem sz\u00fcks\u00e9ges minden magasabb szint\u0171 szerepn\u00e9l \u00fajra \u00e9s \u00fajra felsorolni az \u00f6sszes alapvet\u0151 jogosults\u00e1got. El\u00e9g, ha a \"munkav\u00e1llal\u00f3\" szerep \u00f6r\u00f6kl\u00e9si jel\u00e9t egyszer\u0171en megadjuk.<\/p>\n

\"K\u00e9sz\u00edt\u00fcnk
\n
\nK\u00e9s\u0151bb a szabv\u00e1ny \u00faj hozz\u00e1f\u00e9r\u00e9si attrib\u00fatumokkal b\u0151v\u00fclt, \u00f6sszhangban a folyamatosan v\u00e1ltoz\u00f3 k\u00f6rnyezettel. \u00daj statikus \u00e9s dinamikus korl\u00e1toz\u00e1sok bevezet\u00e9s\u00e9re is lehet\u0151s\u00e9g ny\u00edlt. A statikusok azt jelentik, hogy a szerepek nem kombin\u00e1lhat\u00f3k (ez az a bemeneti \u00e9s m\u0171veletellen\u0151rz\u00e9si mechanizmus, amelyet fent eml\u00edtett\u00fcnk). A dinamikus korl\u00e1toz\u00e1sok v\u00e1ltoz\u00f3 param\u00e9terek alapj\u00e1n hat\u00e1rozhat\u00f3k meg, p\u00e9ld\u00e1ul id\u0151 (munkai\/nem munkai \u00f3r\u00e1k vagy napok), hely (iroda\/otthon) stb.<\/p>\n

K\u00fcl\u00f6n eml\u00edt\u00e9st \u00e9rdemel az attrib\u00fatum alap\u00fa hozz\u00e1f\u00e9r\u00e9s-vez\u00e9rl\u00e9s (ABAC \u2014 Attribute-based Access Control).<\/b> Ez a megk\u00f6zel\u00edt\u00e9s az attrib\u00fatumok k\u00f6z\u00f6s haszn\u00e1lat\u00e1ra vonatkoz\u00f3 szab\u00e1lyok r\u00e9v\u00e9n ad hozz\u00e1f\u00e9r\u00e9st. Ez a modell haszn\u00e1lhat\u00f3 \u00f6n\u00e1ll\u00f3an, de gyakran akt\u00edvan kieg\u00e9sz\u00edti a klasszikus szerepalap\u00fa (RBAC) modellt is: egy adott szerephez felhaszn\u00e1l\u00f3i, er\u0151forr\u00e1s- \u00e9s eszk\u00f6zattrib\u00fatumokat, valamint id\u0151- vagy helyattrib\u00fatumokat lehet hozz\u00e1adni. Ez lehet\u0151v\u00e9 teszi a szerepek sz\u00e1m\u00e1nak cs\u00f6kkent\u00e9s\u00e9t, tov\u00e1bbi korl\u00e1toz\u00e1sok bevezet\u00e9s\u00e9t, \u00e9s a hozz\u00e1f\u00e9r\u00e9s minim\u00e1lisan elegend\u0151v\u00e9 t\u00e9tel\u00e9t, ezzel n\u00f6velve a biztons\u00e1got.<\/p>\n

P\u00e9ld\u00e1ul a k\u00f6nyvel\u0151 sz\u00e1m\u00e1ra enged\u00e9lyezhetj\u00fck a hozz\u00e1f\u00e9r\u00e9st a sz\u00e1ml\u00e1khoz, ha egy adott r\u00e9gi\u00f3ban dolgozik. Ekkor a szakember helyzete \u00f6sszehasonl\u00edt\u00e1sra ker\u00fcl egy meghat\u00e1rozott referencia\u00e9rt\u00e9kkel. Vagy enged\u00e9lyezhetj\u00fck a hozz\u00e1f\u00e9r\u00e9st a sz\u00e1ml\u00e1khoz, csak akkor, ha a felhaszn\u00e1l\u00f3 egy enged\u00e9lyezett eszk\u00f6zr\u0151l jelentkezik be. J\u00f3 kieg\u00e9sz\u00edt\u0151je a szerepm\u00f3dellenek, de \u00f6n\u00e1ll\u00f3an ritk\u00e1n haszn\u00e1lj\u00e1k, mivel sok szab\u00e1lyt \u00e9s enged\u00e9lyez\u00e9si vagy korl\u00e1toz\u00e1si t\u00e1bl\u00e1zatot kell l\u00e9trehozni.<\/p>\n

Hozzak egy p\u00e9ld\u00e1t az ABAC alkalmaz\u00e1s\u00e1ra a \u201em\u00faltb\u00e9li\u201d \u00e9letemb\u0151l. A bankunkban t\u00f6bb fi\u00f3k m\u0171k\u00f6d\u00f6tt. Az \u00fcgyf\u00e9lk\u00f6zpontok alkalmazottai ezekben a fi\u00f3kokban teljesen azonos m\u0171veleteket hajtottak v\u00e9gre, de a f\u0151 rendszerben csak saj\u00e1t r\u00e9gi\u00f3juk sz\u00e1ml\u00e1ival dolgozhattak. El\u0151sz\u00f6r k\u00fcl\u00f6n szerepeket kezdt\u00fcnk l\u00e9trehozni minden r\u00e9gi\u00f3ra \u2013 \u00e9s a sz\u00e1mos ism\u00e9tl\u0151d\u0151 funkci\u00f3val rendelkez\u0151 szerepb\u0151l, amely k\u00fcl\u00f6nb\u00f6z\u0151 sz\u00e1ml\u00e1khoz val\u00f3 hozz\u00e1f\u00e9r\u00e9ssel rendelkezett, nagyon sok lett! Ezut\u00e1n a felhaszn\u00e1l\u00f3 tart\u00f3zkod\u00e1si hely\u00e9nek attrib\u00fatum\u00e1t felhaszn\u00e1lva \u00e9s ezt egy konkr\u00e9t sz\u00e1mtartom\u00e1nyhoz kapcsolva a ellen\u0151rz\u00e9shez, jelent\u0151sen cs\u00f6kkentett\u00fck a rendszer szerepeinek sz\u00e1m\u00e1t. V\u00e9g\u00fcl csak egy fi\u00f3k szerepei maradtak, amelyek a bank \u00f6sszes t\u00f6bbi ter\u00fcleti egys\u00e9g\u00e9ben megfelel\u0151 poz\u00edci\u00f3kra m\u00e1soltak.<\/p>\n

Most pedig besz\u00e9lj\u00fcnk a sz\u00fcks\u00e9ges el\u0151k\u00e9sz\u00edt\u0151 l\u00e9p\u00e9sekr\u0151l, amelyek n\u00e9lk\u00fcl egyszer\u0171en lehetetlen m\u0171k\u00f6d\u0151k\u00e9pes szerepm\u00f3delt kialak\u00edtani.<\/p>\n

1. l\u00e9p\u00e9s. L\u00e9trehozunk egy funkcion\u00e1lis modellt<\/h2>\n

\n\u00c9rdemes a funkcion\u00e1lis modell l\u00e9trehoz\u00e1s\u00e1val kezdeni \u2013 egy magas szint\u0171 dokumentummal, amely r\u00e9szletesen le\u00edrja minden oszt\u00e1ly \u00e9s munkak\u00f6r funkci\u00f3j\u00e1t. \u00c1ltal\u00e1ban az inform\u00e1ci\u00f3 k\u00fcl\u00f6nb\u00f6z\u0151 dokumentumokb\u00f3l ker\u00fcl bele: munkak\u00f6ri le\u00edr\u00e1sokb\u00f3l \u00e9s egyes oszt\u00e1lyok, mint p\u00e9ld\u00e1ul r\u00e9szlegek, igazgat\u00f3s\u00e1gok, departemenst \u00e9rint\u0151 szab\u00e1lyokb\u00f3l. A funkcion\u00e1lis modellt minden \u00e9rintett oszt\u00e1llyal (\u00fczlet, bels\u0151 ellen\u0151rz\u00e9s, biztons\u00e1g) egyeztetni kell \u00e9s a v\u00e1llalat vezet\u0151s\u00e9g\u00e9nek j\u00f3v\u00e1hagy\u00e1sa sz\u00fcks\u00e9ges. Mi\u00e9rt van sz\u00fcks\u00e9g erre a dokumentumra? Annak \u00e9rdek\u00e9ben, hogy a szerepm\u00f3dell hivatkozhasson r\u00e1. P\u00e9ld\u00e1ul ha a m\u00e1r megl\u00e9v\u0151 jogosults\u00e1gok alapj\u00e1n szeretn\u00e9 fel\u00e9p\u00edteni a szerepm\u00f3delt \u2013 amelyeket a rendszerb\u0151l export\u00e1ltak \u00e9s \u201eegys\u00e9ges\u00edtett\u00e9k\u201d. Akkor a kapott szerepek \u00fczleti tulajdonos\u00e1val val\u00f3 egyeztet\u00e9skor hivatkozhat egy adott pontra a funkcion\u00e1lis modellben, amely alapj\u00e1n a szerephez jogosults\u00e1got adnak.<\/p>\n

2. l\u00e9p\u00e9s. Audit\u00e1ljuk az IT rendszereket \u00e9s priorit\u00e1si tervet k\u00e9sz\u00edt\u00fcnk<\/h2>\n

\nA m\u00e1sodik l\u00e9p\u00e9s sor\u00e1n el kell v\u00e9gezni az IT rendszerek auditj\u00e1t, hogy meg\u00e9rts\u00fck, hogyan van megszervezve a hozz\u00e1f\u00e9r\u00e9s ezekhez. P\u00e9ld\u00e1ul az \u00e9n p\u00e9nz\u00fcgyi c\u00e9gemben t\u00f6bb sz\u00e1z informatikai rendszer m\u0171k\u00f6d\u00f6tt. Minden rendszerben volt n\u00e9mi kezdetleges szerepkezel\u00e9s, a legt\u00f6bbben voltak valamilyen szerepek, de f\u0151leg pap\u00edralap\u00faak vagy a rendszer nyilv\u00e1ntart\u00e1s\u00e1ban szerepeltek \u2013 ezek r\u00e9g\u00f3ta elavultak, \u00e9s a hozz\u00e1f\u00e9r\u00e9st a felhaszn\u00e1l\u00f3k t\u00e9nyleges k\u00e9r\u00e9sei alapj\u00e1n osztott\u00e1k ki. Term\u00e9szetesen lehetetlen egyszerre t\u00f6bb sz\u00e1z rendszerben szerepm\u00f3delt kialak\u00edtani, valahonnan el kell kezdeni. M\u00e9lyrehat\u00f3 elemz\u00e9st v\u00e9gezt\u00fcnk a hozz\u00e1f\u00e9r\u00e9s kezel\u00e9s\u00e9nek folyamat\u00e1r\u00f3l, hogy meghat\u00e1rozzuk annak \u00e9retts\u00e9gi szintj\u00e9t. Az elemz\u00e9s sor\u00e1n kidolgoztuk az informatikai rendszerek priorit\u00e1si krit\u00e9riumait \u2013 kritikus fontoss\u00e1g, felk\u00e9sz\u00fclts\u00e9g, \u00fczemen k\u00edv\u00fcl helyez\u00e9si tervek stb. Ezek seg\u00edts\u00e9g\u00e9vel fel\u00e1ll\u00edtottuk a szerepmodellek kidolgoz\u00e1s\u00e1nak\/sz\u00e1mbav\u00e9tel\u00e9nek sorrendj\u00e9t ezen rendszerek sz\u00e1m\u00e1ra. Majd belefoglalva a szerepmodelleket az Identity Management megold\u00e1ssal val\u00f3 integr\u00e1ci\u00f3s tervbe, hogy automatiz\u00e1ljuk a hozz\u00e1f\u00e9r\u00e9s kezel\u00e9s\u00e9t.<\/p>\n

Teh\u00e1t hogyan hat\u00e1rozzuk meg a rendszer kritikus fontoss\u00e1g\u00e1t? V\u00e1laszoljon a k\u00f6vetkez\u0151 k\u00e9rd\u00e9sekre:<\/p>\n