ພວກເຮົາກໍາລັງສ້າງຕົວແບບການຄວບຄຸມການເຂົ້າເຖິງໂດຍອີງໃສ່ບົດບາດ. ສ່ວນ​ຫນຶ່ງ​, ການ​ກະ​ກຽມ​

ໃນປັດຈຸບັນຂ້າພະເຈົ້າເຮັດວຽກສໍາລັບຜູ້ຂາຍຊອບແວ, ໂດຍສະເພາະການເຂົ້າເຖິງການແກ້ໄຂການຄວບຄຸມ. ແລະປະສົບການຂອງຂ້ອຍ "ຈາກຊີວິດທີ່ຜ່ານມາ" ແມ່ນເຊື່ອມຕໍ່ກັບຝ່າຍລູກຄ້າ - ອົງການຈັດຕັ້ງທາງດ້ານການເງິນຂະຫນາດໃຫຍ່. ໃນເວລານັ້ນ, ກຸ່ມຄວບຄຸມການເຂົ້າເຖິງຂອງພວກເຮົາໃນພະແນກຄວາມປອດໄພຂໍ້ມູນຂ່າວສານບໍ່ສາມາດເວົ້າໂອ້ອວດຄວາມສາມາດທີ່ຍິ່ງໃຫຍ່ໃນ IdM. ພວກເຮົາໄດ້ຮຽນຮູ້ຫຼາຍໃນຂະບວນການ, ພວກເຮົາຕ້ອງຕີຫຼາຍຕໍານິຕິຕຽນເພື່ອສ້າງກົນໄກການເຮັດວຽກໃນການຄຸ້ມຄອງສິດທິຂອງຜູ້ໃຊ້ໃນລະບົບຂໍ້ມູນຂ່າວສານໃນບໍລິສັດ.

ການລວມເອົາປະສົບການຂອງລູກຄ້າທີ່ຫາໄດ້ຍາກຂອງຂ້ອຍກັບຄວາມຮູ້ແລະຄວາມສາມາດຂອງຜູ້ຂາຍ, ຂ້ອຍຢາກແບ່ງປັນຄໍາແນະນໍາຂັ້ນຕອນໂດຍຂັ້ນຕອນທີ່ສໍາຄັນກັບເຈົ້າ: ວິທີການສ້າງຕົວແບບການຄວບຄຸມການເຂົ້າເຖິງໂດຍອີງໃສ່ພາລະບົດບາດໃນບໍລິສັດຂະຫນາດໃຫຍ່, ແລະສິ່ງທີ່ຈະໃຫ້ຜົນໄດ້ຮັບ. . ຄໍາແນະນໍາຂອງຂ້ອຍປະກອບດ້ວຍສອງສ່ວນ: ທໍາອິດແມ່ນກຽມພ້ອມທີ່ຈະສ້າງຕົວແບບ, ທີສອງແມ່ນການກໍ່ສ້າງຕົວຈິງ. ນີ້ແມ່ນພາກສ່ວນທໍາອິດ, ສ່ວນການກະກຽມ.

NB ການສ້າງແບບຢ່າງແມ່ນ, ແຕ່ຫນ້າເສຍດາຍ, ບໍ່ແມ່ນຜົນໄດ້ຮັບ, ແຕ່ເປັນຂະບວນການ. ຫຼືແທນທີ່ຈະ, ແມ່ນແຕ່ສ່ວນຫນຶ່ງຂອງຂະບວນການສ້າງລະບົບນິເວດການຄວບຄຸມການເຂົ້າເຖິງໃນບໍລິສັດ. ສະນັ້ນກຽມພ້ອມສໍາລັບເກມເປັນເວລາດົນນານ.

ທໍາອິດ, ໃຫ້ກໍານົດມັນ - ການຄວບຄຸມການເຂົ້າເຖິງໂດຍອີງໃສ່ບົດບາດແມ່ນຫຍັງ? ສົມມຸດວ່າທ່ານມີທະນາຄານຂະຫນາດໃຫຍ່ທີ່ມີຫຼາຍສິບ, ຫຼືແມ້ກະທັ້ງຫຼາຍຮ້ອຍພັນຄົນຂອງພະນັກງານ (ຫນ່ວຍງານ), ແຕ່ລະຄົນມີສິດການເຂົ້າເຖິງຫຼາຍຮ້ອຍຄົນຂອງລະບົບຂໍ້ມູນທະນາຄານພາຍໃນ (ວັດຖຸ). ໃນປັດຈຸບັນຄູນຈໍານວນຂອງວັດຖຸໂດຍຈໍານວນຂອງວິຊາ - ນີ້ແມ່ນຈໍານວນການເຊື່ອມຕໍ່ຕໍາ່ສຸດທີ່ທ່ານຈໍາເປັນຕ້ອງສ້າງທໍາອິດແລະຫຼັງຈາກນັ້ນຄວບຄຸມ. ມັນເປັນໄປໄດ້ແທ້ໆທີ່ຈະເຮັດສິ່ງນີ້ດ້ວຍຕົນເອງບໍ? ແນ່ນອນບໍ່ແມ່ນ - ພາລະບົດບາດໄດ້ຖືກສ້າງຂື້ນເພື່ອແກ້ໄຂບັນຫານີ້.

ບົດບາດແມ່ນຊຸດການອະນຸຍາດທີ່ຜູ້ໃຊ້ ຫຼືກຸ່ມຜູ້ໃຊ້ຕ້ອງການເພື່ອປະຕິບັດວຽກງານສະເພາະ. ພະນັກງານແຕ່ລະຄົນສາມາດມີຫນຶ່ງຫຼືຫຼາຍພາລະບົດບາດ, ແລະແຕ່ລະບົດບາດສາມາດປະກອບດ້ວຍການອະນຸຍາດຈາກຫນຶ່ງໄປຫາຫຼາຍທີ່ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ພາຍໃນພາລະບົດບາດນັ້ນ. ພາລະບົດບາດສາມາດຕິດພັນກັບຕໍາແໜ່ງງານສະເພາະ, ພະແນກ ຫຼື ໜ້າທີ່ການງານຂອງພະນັກງານ.

ພາລະບົດບາດມັກຈະຖືກສ້າງຂື້ນຈາກການອະນຸຍາດຂອງພະນັກງານແຕ່ລະຄົນໃນແຕ່ລະລະບົບຂໍ້ມູນ. ຫຼັງຈາກນັ້ນ, ບົດບາດຂອງທຸລະກິດທົ່ວໂລກແມ່ນເກີດຂື້ນຈາກພາລະບົດບາດຂອງແຕ່ລະລະບົບ. ຕົວຢ່າງ, ພາລະບົດບາດທຸລະກິດ "ຜູ້ຈັດການສິນເຊື່ອ" ຈະປະກອບມີຫຼາຍບົດບາດແຍກຕ່າງຫາກໃນລະບົບຂໍ້ມູນຂ່າວສານທີ່ຖືກນໍາໃຊ້ໃນຫ້ອງການລູກຄ້າຂອງທະນາຄານ. ຕົວຢ່າງເຊັ່ນລະບົບທະນາຄານອັດຕະໂນມັດຕົ້ນຕໍ, ໂມດູນເງິນສົດ, ລະບົບການຄຸ້ມຄອງເອກະສານເອເລັກໂຕຣນິກ, ຜູ້ຈັດການບໍລິການແລະອື່ນໆ. ພາລະບົດບາດທຸລະກິດ, ຕາມກົດລະບຽບ, ແມ່ນຜູກມັດກັບໂຄງສ້າງຂອງອົງການຈັດຕັ້ງ - ໃນຄໍາສັບຕ່າງໆອື່ນໆ, ກັບຊຸດຂອງພະແນກບໍລິສັດແລະຕໍາແຫນ່ງໃນພວກເຂົາ. ນີ້ແມ່ນວິທີການ matrix ບົດບາດທົ່ວໂລກໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນ (ຂ້າພະເຈົ້າໃຫ້ຕົວຢ່າງໃນຕາຕະລາງຂ້າງລຸ່ມນີ້).

ມັນເປັນມູນຄ່າທີ່ສັງເກດວ່າມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະສ້າງແບບຢ່າງ 100%, ສະຫນອງສິດທິທີ່ຈໍາເປັນທັງຫມົດສໍາລັບພະນັກງານຂອງແຕ່ລະຕໍາແຫນ່ງໃນໂຄງສ້າງການຄ້າ. ແມ່ນແລ້ວ, ນີ້ແມ່ນບໍ່ຈໍາເປັນ. ຫຼັງຈາກທີ່ທັງຫມົດ, ຮູບແບບພາລະບົດບາດບໍ່ສາມາດຄົງທີ່, ເພາະວ່າມັນຂຶ້ນກັບສະພາບແວດລ້ອມທີ່ມີການປ່ຽນແປງຢ່າງຕໍ່ເນື່ອງ. ແລະຈາກການປ່ຽນແປງກິດຈະກໍາທາງທຸລະກິດຂອງບໍລິສັດ, ເຊິ່ງ, ຕາມນັ້ນ, ມີຜົນກະທົບຕໍ່ການປ່ຽນແປງຂອງໂຄງສ້າງແລະຫນ້າທີ່ຂອງອົງກອນ. ແລະຈາກການຂາດການສະຫນອງຊັບພະຍາກອນຢ່າງເຕັມທີ່, ແລະຈາກການບໍ່ປະຕິບັດຕາມຄໍາອະທິບາຍວຽກ, ແລະຈາກຄວາມປາຖະຫນາສໍາລັບກໍາໄລໃນຄ່າໃຊ້ຈ່າຍຂອງຄວາມປອດໄພ, ແລະຈາກປັດໃຈອື່ນໆຈໍານວນຫຼາຍ. ດັ່ງນັ້ນ, ມັນຈໍາເປັນຕ້ອງສ້າງຕົວແບບທີ່ສາມາດກວມເອົາເຖິງ 80% ຂອງຄວາມຕ້ອງການຂອງຜູ້ໃຊ້ສໍາລັບສິດທິພື້ນຖານທີ່ຈໍາເປັນໃນເວລາທີ່ຖືກມອບຫມາຍໃຫ້ຕໍາແຫນ່ງ. ແລະພວກເຂົາສາມາດ, ຖ້າຈໍາເປັນ, ຮ້ອງຂໍໃຫ້ 20% ​​ທີ່ຍັງເຫຼືອຕໍ່ມາໃນຄໍາຮ້ອງສະຫມັກແຍກຕ່າງຫາກ.

ແນ່ນອນ, ເຈົ້າອາດຈະຖາມວ່າ: "ບໍ່ມີສິ່ງທີ່ເປັນແບບຢ່າງ 100% ບໍ?" ດີ, ເປັນຫຍັງ, ນີ້ເກີດຂຶ້ນ, ສໍາລັບການຍົກຕົວຢ່າງ, ໃນໂຄງສ້າງທີ່ບໍ່ຫວັງຜົນກໍາໄລທີ່ບໍ່ມີການປ່ຽນແປງເລື້ອຍໆ - ໃນບາງສະຖາບັນຄົ້ນຄ້ວາ. ຫຼືຢູ່ໃນອົງການຈັດຕັ້ງທີ່ສະລັບສັບຊ້ອນທາງທະຫານ - ອຸດສາຫະກໍາທີ່ມີລະດັບຄວາມປອດໄພສູງ, ບ່ອນທີ່ຄວາມປອດໄພມາກ່ອນ. ມັນເກີດຂື້ນໃນໂຄງສ້າງທາງການຄ້າ, ແຕ່ຢູ່ໃນຂອບຂອງພະແນກແຍກຕ່າງຫາກ, ການເຮັດວຽກຂອງມັນແມ່ນຂະບວນການທີ່ຂ້ອນຂ້າງຄົງທີ່ແລະຄາດເດົາໄດ້.

ປະໂຫຍດຕົ້ນຕໍຂອງການຄຸ້ມຄອງທີ່ອີງໃສ່ບົດບາດແມ່ນຄວາມງ່າຍດາຍຂອງການອອກສິດທິ, ເພາະວ່າຈໍານວນຂອງບົດບາດແມ່ນຫນ້ອຍກວ່າຈໍານວນຜູ້ໃຊ້ຂອງລະບົບຂໍ້ມູນຂ່າວສານຢ່າງຫຼວງຫຼາຍ. ແລະນີ້ແມ່ນຄວາມຈິງສໍາລັບອຸດສາຫະກໍາໃດກໍ່ຕາມ.

ຂໍໃຫ້ບໍລິສັດຂາຍຍ່ອຍ: ມັນຈ້າງພະນັກງານຂາຍຫລາຍພັນຄົນ, ແຕ່ພວກເຂົາມີສິດດຽວກັນໃນລະບົບ N, ແລະພຽງແຕ່ຫນຶ່ງບົດບາດຈະຖືກສ້າງຂື້ນສໍາລັບພວກເຂົາ. ເມື່ອພະນັກງານຂາຍໃຫມ່ເຂົ້າມາໃນບໍລິສັດ, ລາວໄດ້ຖືກມອບຫມາຍໃຫ້ອັດຕະໂນມັດພາລະບົດບາດທີ່ກໍານົດໄວ້ໃນລະບົບ, ເຊິ່ງມີເຈົ້າຫນ້າທີ່ທີ່ຈໍາເປັນທັງຫມົດ. ນອກຈາກນີ້, ໃນຫນຶ່ງຄລິກທ່ານສາມາດປ່ຽນສິດທິສໍາລັບຫລາຍພັນຄົນຂອງຜູ້ຂາຍໃນເວລາດຽວກັນ, ສໍາລັບການຍົກຕົວຢ່າງ, ເພີ່ມທາງເລືອກໃຫມ່ສໍາລັບການສ້າງບົດລາຍງານ. ບໍ່ຈໍາເປັນຕ້ອງດໍາເນີນການຫນຶ່ງພັນເທື່ອ, ການເຊື່ອມໂຍງສິດທິໃຫມ່ກັບແຕ່ລະບັນຊີ - ພຽງແຕ່ເພີ່ມທາງເລືອກນີ້ໃຫ້ກັບບົດບາດ, ແລະມັນຈະປາກົດສໍາລັບຜູ້ຂາຍທັງຫມົດໃນເວລາດຽວກັນ.

ປະໂຫຍດອີກອັນຫນຶ່ງຂອງການຄຸ້ມຄອງໂດຍອີງໃສ່ພາລະບົດບາດແມ່ນການລົບລ້າງການອອກໃບອະນຸຍາດທີ່ບໍ່ສອດຄ່ອງກັນ. ນັ້ນແມ່ນ, ພະນັກງານທີ່ມີບົດບາດທີ່ແນ່ນອນໃນລະບົບບໍ່ສາມາດພ້ອມກັນມີບົດບາດອື່ນ, ສິດທິທີ່ບໍ່ຄວນຖືກລວມເຂົ້າກັບສິດທິໃນຄັ້ງທໍາອິດ. ຕົວຢ່າງທີ່ໂດດເດັ່ນແມ່ນການຫ້າມການລວມເອົາຫນ້າທີ່ຂອງການປ້ອນຂໍ້ມູນແລະການຄວບຄຸມການເຮັດທຸລະກໍາທາງດ້ານການເງິນ.

ໃຜກໍ່ຕາມທີ່ມີຄວາມສົນໃຈໃນວິທີການຄວບຄຸມການເຂົ້າເຖິງໂດຍອີງໃສ່ບົດບາດແມ່ນສາມາດເຮັດໄດ້
ເຂົ້າໄປໃນປະຫວັດສາດ
ຖ້າພວກເຮົາເບິ່ງປະຫວັດສາດ, ຊຸມຊົນ IT ທໍາອິດຄິດກ່ຽວກັບວິທີການຄວບຄຸມການເຂົ້າເຖິງໃນຊຸມປີ 70 ຂອງສະຕະວັດທີ XNUMX. ເຖິງແມ່ນວ່າຄໍາຮ້ອງສະຫມັກແມ່ນຂ້ອນຂ້າງງ່າຍດາຍໃນເມື່ອກ່ອນ, ຄືກັນກັບໃນປັດຈຸບັນ, ທຸກຄົນກໍ່ຕ້ອງການຈັດການການເຂົ້າເຖິງໄດ້ງ່າຍ. ອະນຸຍາດໃຫ້, ປ່ຽນແປງແລະຄວບຄຸມສິດຂອງຜູ້ໃຊ້ - ພຽງແຕ່ເພື່ອເຮັດໃຫ້ມັນງ່າຍຕໍ່ການເຂົ້າໃຈສິ່ງທີ່ພວກເຂົາແຕ່ລະຄົນມີ. ແຕ່ໃນເວລານັ້ນບໍ່ມີມາດຕະຖານທົ່ວໄປ, ລະບົບການຄວບຄຸມການເຂົ້າເຖິງທໍາອິດໄດ້ຖືກພັດທະນາ, ແລະແຕ່ລະບໍລິສັດແມ່ນອີງໃສ່ແນວຄວາມຄິດແລະກົດລະບຽບຂອງຕົນເອງ.

ຮູບແບບການຄວບຄຸມການເຂົ້າເຖິງທີ່ແຕກຕ່າງກັນຫຼາຍແມ່ນເປັນທີ່ຮູ້ຈັກໃນປັດຈຸບັນ, ແຕ່ພວກມັນບໍ່ປາກົດໃນທັນທີ. ຂໍ​ໃຫ້​ພວກ​ເຮົາ​ຢູ່​ກັບ​ຜູ້​ທີ່​ໄດ້​ມີ​ການ​ປະ​ກອບ​ສ່ວນ​ສໍາ​ຄັນ​ໃນ​ການ​ພັດ​ທະ​ນາ​ຂອງ​ຂົງ​ເຂດ​ນີ້​.

ຮູບແບບທໍາອິດແລະອາດຈະເປັນແບບງ່າຍດາຍທີ່ສຸດແມ່ນ ການຄວບຄຸມການເຂົ້າເຖິງການຕັດສິນໃຈ (ເລືອກ). (DAC – ການ​ຄວບ​ຄຸມ​ການ​ເຂົ້າ​ເຖິງ​ພິ​ເສດ​)​. ຮູບແບບນີ້ຫມາຍເຖິງການແບ່ງປັນສິດທິໂດຍຜູ້ເຂົ້າຮ່ວມທັງຫມົດໃນຂະບວນການເຂົ້າເຖິງ. ຜູ້ໃຊ້ແຕ່ລະຄົນມີການເຂົ້າເຖິງວັດຖຸຫຼືການດໍາເນີນງານສະເພາະ. ໂດຍເນື້ອແທ້ແລ້ວ, ໃນທີ່ນີ້ຊຸດຂອງຫົວຂໍ້ສິດທິແມ່ນກົງກັບຊຸດຂອງວັດຖຸ. ຮູບແບບນີ້ໄດ້ຖືກພົບເຫັນວ່າມີຄວາມຍືດຫຍຸ່ນເກີນໄປແລະຍາກທີ່ຈະຮັກສາ: ບັນຊີລາຍຊື່ການເຂົ້າເຖິງໃນທີ່ສຸດກາຍເປັນໃຫຍ່ແລະຍາກທີ່ຈະຄວບຄຸມ.

ຮູບແບບທີສອງແມ່ນ ການຄວບຄຸມການເຂົ້າເຖິງບັງຄັບ (MAC - ການຄວບຄຸມການເຂົ້າເຖິງບັງຄັບ). ອີງຕາມຮູບແບບນີ້, ຜູ້ໃຊ້ແຕ່ລະຄົນໄດ້ຮັບການເຂົ້າເຖິງວັດຖຸທີ່ສອດຄ່ອງກັບການເຂົ້າເຖິງລະດັບຄວາມລັບຂອງຂໍ້ມູນສະເພາະ. ຕາມນັ້ນແລ້ວ, ວັດຖຸຄວນຖືກຈັດປະເພດຕາມລະດັບຄວາມລັບຂອງມັນ. ບໍ່ເຫມືອນກັບຕົວແບບທີ່ມີຄວາມຍືດຫຍຸ່ນທໍາອິດ, ອັນນີ້, ໃນທາງກົງກັນຂ້າມ, ໄດ້ກາຍເປັນຄວາມເຄັ່ງຄັດແລະຈໍາກັດເກີນໄປ. ການນໍາໃຊ້ຂອງມັນບໍ່ແມ່ນຄວາມຍຸດຕິທໍາເມື່ອບໍລິສັດມີຊັບພະຍາກອນຂໍ້ມູນທີ່ແຕກຕ່າງກັນຫຼາຍ: ເພື່ອແຍກການເຂົ້າເຖິງຊັບພະຍາກອນທີ່ແຕກຕ່າງກັນ, ທ່ານຈະຕ້ອງແນະນໍາຫຼາຍປະເພດທີ່ຈະບໍ່ຊ້ໍາກັນ.

ເນື່ອງຈາກຄວາມບໍ່ສົມບູນແບບທີ່ເຫັນໄດ້ຊັດຂອງສອງວິທີການນີ້, ຊຸມຊົນ IT ໄດ້ສືບຕໍ່ພັດທະນາຕົວແບບທີ່ມີຄວາມຍືດຫຍຸ່ນແລະໃນເວລາດຽວກັນຫຼາຍຫຼືຫນ້ອຍທົ່ວໂລກເພື່ອສະຫນັບສະຫນູນປະເພດຕ່າງໆຂອງນະໂຍບາຍການຄວບຄຸມການເຂົ້າເຖິງຂອງອົງການຈັດຕັ້ງ. ແລະຫຼັງຈາກນັ້ນມັນປາກົດ ຮູບແບບການຄວບຄຸມການເຂົ້າເຖິງທີ່ອີງໃສ່ບົດບາດທີສາມ! ວິທີການນີ້ໄດ້ຖືກພິສູດວ່າເປັນໂອກາດທີ່ສຸດເນື່ອງຈາກວ່າມັນຕ້ອງການບໍ່ພຽງແຕ່ການອະນຸຍາດຂອງຕົວຕົນຂອງຜູ້ໃຊ້, ແຕ່ຍັງປະຕິບັດຫນ້າທີ່ຂອງຕົນໃນລະບົບ.

ໂຄງສ້າງແບບຢ່າງທີ່ອະທິບາຍຢ່າງຊັດເຈນຄັ້ງທໍາອິດໄດ້ຖືກສະເຫນີໂດຍນັກວິທະຍາສາດອາເມລິກາ David Ferrailo ແລະ Richard Kuhn ຈາກສະຖາບັນມາດຕະຖານແລະເຕັກໂນໂລຢີແຫ່ງຊາດສະຫະລັດໃນປີ 1992. ຫຼັງຈາກນັ້ນ, ໄລຍະທໍາອິດປາກົດ RBAC (ການຄວບຄຸມການເຂົ້າເຖິງໂດຍອີງໃສ່ບົດບາດ). ການສຶກສາເຫຼົ່ານີ້ແລະລາຍລະອຽດຂອງອົງປະກອບຕົ້ນຕໍ, ເຊັ່ນດຽວກັນກັບການພົວພັນຂອງເຂົາເຈົ້າ, ສ້າງຕັ້ງຂຶ້ນເປັນພື້ນຖານຂອງມາດຕະຖານ INCITS 359-2012, ທີ່ຍັງຢູ່ໃນຜົນບັງຄັບໃຊ້ໃນມື້ນີ້, ອະນຸມັດໂດຍຄະນະກໍາມະການສາກົນກ່ຽວກັບມາດຕະຖານເຕັກໂນໂລຊີຂໍ້ມູນຂ່າວສານ (INCITS).

ມາດຕະຖານກໍານົດບົດບາດເປັນ "ຫນ້າທີ່ເຮັດວຽກໃນສະພາບການຂອງອົງການຈັດຕັ້ງທີ່ມີບາງຄວາມຫມາຍທີ່ກ່ຽວຂ້ອງກ່ຽວກັບສິດອໍານາດແລະຄວາມຮັບຜິດຊອບທີ່ຜູ້ໃຊ້ມອບຫມາຍໃຫ້ພາລະບົດບາດ." ເອກະສານສ້າງຕັ້ງອົງປະກອບພື້ນຖານຂອງ RBAC - ຜູ້ໃຊ້, ກອງປະຊຸມ, ພາລະບົດບາດ, ການອະນຸຍາດ, ການດໍາເນີນງານແລະວັດຖຸ, ເຊັ່ນດຽວກັນກັບການພົວພັນແລະການພົວພັນລະຫວ່າງພວກເຂົາ.

ມາດຕະຖານສະຫນອງໂຄງສ້າງທີ່ຈໍາເປັນຂັ້ນຕ່ໍາສໍາລັບການສ້າງແບບຈໍາລອງ - ການສົມທົບສິດທິເຂົ້າໄປໃນພາລະບົດບາດແລະຫຼັງຈາກນັ້ນໃຫ້ການເຂົ້າເຖິງຜູ້ໃຊ້ໂດຍຜ່ານພາລະບົດບາດເຫຼົ່ານີ້. ກົນ​ໄກ​ປະກອບ​ບົດບາດ​ຈາກ​ວັດຖຸ ​ແລະ ການ​ດຳ​ເນີນ​ງານ​ແມ່ນ​ໄດ້​ກຳນົດ​ໄວ້, ການຈັດ​ລຽງ​ລຳດັບ​ບົດບາດ ​ແລະ ການ​ສືບ​ທອດ​ອຳນາດ. ຫຼັງຈາກທີ່ທັງຫມົດ, ໃນບໍລິສັດໃດກໍ່ຕາມມີພາລະບົດບາດທີ່ລວມເອົາອໍານາດພື້ນຖານທີ່ຈໍາເປັນສໍາລັບພະນັກງານທັງຫມົດຂອງບໍລິສັດ. ນີ້ອາດຈະເຂົ້າເຖິງອີເມວ, EDMS, ປະຕູຂອງບໍລິສັດ, ແລະອື່ນໆ. ການອະນຸຍາດເຫຼົ່ານີ້ສາມາດຖືກລວມເຂົ້າໃນບົດບາດທົ່ວໄປທີ່ເອີ້ນວ່າ "ພະນັກງານ", ແລະບໍ່ມີຄວາມຈໍາເປັນທີ່ຈະລາຍຊື່ສິດທິພື້ນຖານທັງຫມົດຄັ້ງແລະອີກເທື່ອຫນຶ່ງໃນແຕ່ລະພາລະບົດບາດລະດັບສູງ. ມັນພຽງພໍທີ່ຈະພຽງແຕ່ຊີ້ບອກລັກສະນະມໍລະດົກຂອງບົດບາດ "ພະນັກງານ".

ຕໍ່ມາ, ມາດຕະຖານໄດ້ຖືກເສີມດ້ວຍຄຸນລັກສະນະການເຂົ້າເຖິງໃຫມ່ທີ່ກ່ຽວຂ້ອງກັບສະພາບແວດລ້ອມທີ່ມີການປ່ຽນແປງຢ່າງຕໍ່ເນື່ອງ. ຄວາມສາມາດໃນການແນະນໍາຂໍ້ຈໍາກັດຄົງທີ່ແລະແບບເຄື່ອນໄຫວໄດ້ຖືກເພີ່ມ. ສິ່ງຄົງທີ່ຫມາຍເຖິງຄວາມເປັນໄປບໍ່ໄດ້ຂອງການສົມທົບພາລະບົດບາດ (ການປ້ອນຂໍ້ມູນດຽວກັນແລະການຄວບຄຸມການດໍາເນີນງານທີ່ໄດ້ກ່າວມາຂ້າງເທິງ). ຂໍ້ຈໍາກັດແບບເຄື່ອນໄຫວສາມາດຖືກກໍານົດໂດຍການປ່ຽນແປງຕົວກໍານົດການ, ຕົວຢ່າງ, ເວລາ (ເວລາເຮັດວຽກ / ບໍ່ເຮັດວຽກຫຼືມື້), ສະຖານທີ່ (ຫ້ອງການ / ເຮືອນ), ແລະອື່ນໆ.

ມັນເປັນມູນຄ່າທີ່ກ່າວເຖິງແຍກຕ່າງຫາກ ການຄວບຄຸມການເຂົ້າເຖິງໂດຍອີງໃສ່ຄຸນລັກສະນະ (ABAC - ການຄວບຄຸມການເຂົ້າເຖິງໂດຍອີງໃສ່ຄຸນລັກສະນະ). ວິທີການແມ່ນອີງໃສ່ການໃຫ້ການເຂົ້າເຖິງໂດຍໃຊ້ກົດລະບຽບການແບ່ງປັນຄຸນລັກສະນະ. ຮູບແບບນີ້ສາມາດຖືກນໍາໃຊ້ແຍກຕ່າງຫາກ, ແຕ່ຂ້ອນຂ້າງເລື້ອຍໆມັນປະກອບສ່ວນຢ່າງຈິງຈັງກັບຕົວແບບຄລາສສິກ: ຄຸນລັກສະນະຂອງຜູ້ໃຊ້, ຊັບພະຍາກອນແລະອຸປະກອນ, ເຊັ່ນດຽວກັນກັບເວລາຫຼືສະຖານທີ່, ສາມາດເພີ່ມເຂົ້າໃນບົດບາດທີ່ແນ່ນອນ. ນີ້ອະນຸຍາດໃຫ້ທ່ານນໍາໃຊ້ພາລະບົດບາດຫນ້ອຍ, ແນະນໍາຂໍ້ຈໍາກັດເພີ່ມເຕີມແລະເຮັດໃຫ້ການເຂົ້າເຖິງຫນ້ອຍທີ່ສຸດເທົ່າທີ່ເປັນໄປໄດ້, ແລະດັ່ງນັ້ນຈຶ່ງປັບປຸງຄວາມປອດໄພ.

ຕົວຢ່າງ, ນັກບັນຊີສາມາດໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າເຖິງບັນຊີຖ້າລາວເຮັດວຽກຢູ່ໃນພາກພື້ນໃດນຶ່ງ. ຫຼັງຈາກນັ້ນ, ສະຖານທີ່ຂອງຜູ້ຊ່ຽວຊານຈະຖືກປຽບທຽບກັບມູນຄ່າການອ້າງອີງທີ່ແນ່ນອນ. ຫຼືທ່ານສາມາດໃຫ້ການເຂົ້າເຖິງບັນຊີໄດ້ພຽງແຕ່ຖ້າຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບຈາກອຸປະກອນທີ່ລວມຢູ່ໃນບັນຊີລາຍຊື່ທີ່ອະນຸຍາດໃຫ້. ການເພີ່ມເຕີມທີ່ດີກັບຕົວແບບພາລະບົດບາດ, ແຕ່ບໍ່ຄ່ອຍໃຊ້ໃນຕົວຂອງມັນເອງເນື່ອງຈາກຄວາມຕ້ອງການທີ່ຈະສ້າງກົດລະບຽບແລະຕາຕະລາງການອະນຸຍາດຫຼືຂໍ້ຈໍາກັດຫຼາຍ.

ຂ້າພະເຈົ້າຂໍຍົກຕົວຢ່າງການໃຊ້ ABAC ຈາກ “ຊີວິດທີ່ຜ່ານມາ” ຂອງຂ້ອຍ. ທະນາຄານຂອງພວກເຮົາມີຫຼາຍສາຂາ. ພະນັກງານຂອງຫ້ອງການລູກຄ້າໃນສາຂາເຫຼົ່ານີ້ປະຕິບັດຢ່າງດຽວກັນ, ແຕ່ຕ້ອງເຮັດວຽກຢູ່ໃນລະບົບຕົ້ນຕໍກັບບັນຊີໃນພາກພື້ນຂອງພວກເຂົາເທົ່ານັ້ນ. ຫນ້າທໍາອິດ, ພວກເຮົາໄດ້ເລີ່ມຕົ້ນສ້າງພາລະບົດບາດແຍກຕ່າງຫາກສໍາລັບແຕ່ລະພາກພື້ນ - ແລະມີຫຼາຍພາລະບົດບາດດັ່ງກ່າວທີ່ມີຫນ້າທີ່ຊ້ໍາກັນ, ແຕ່ມີການເຂົ້າເຖິງບັນຊີທີ່ແຕກຕ່າງກັນ! ຫຼັງຈາກນັ້ນ, ໂດຍການນໍາໃຊ້ຄຸນລັກສະນະສະຖານທີ່ສໍາລັບຜູ້ໃຊ້ແລະການເຊື່ອມໂຍງກັບບັນຊີສະເພາະໃດຫນຶ່ງເພື່ອທົບທວນຄືນ, ພວກເຮົາຫຼຸດລົງຢ່າງຫຼວງຫຼາຍຂອງພາລະບົດບາດໃນລະບົບ. ດັ່ງນັ້ນ, ພາລະບົດບາດຍັງຄົງຢູ່ສໍາລັບສາຂາດຽວ, ເຊິ່ງໄດ້ຖືກຈໍາລອງສໍາລັບຕໍາແຫນ່ງທີ່ສອດຄ້ອງກັນໃນພະແນກອານາເຂດອື່ນໆທັງຫມົດຂອງທະນາຄານ.

ຕອນນີ້ໃຫ້ເວົ້າກ່ຽວກັບຂັ້ນຕອນການກະກຽມທີ່ຈໍາເປັນ, ໂດຍບໍ່ມີການທີ່ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະສ້າງຕົວແບບທີ່ເຮັດວຽກ.

ຂັ້ນຕອນທີ 1. ສ້າງຮູບແບບທີ່ເປັນປະໂຫຍດ

ທ່ານຄວນເລີ່ມຕົ້ນດ້ວຍການສ້າງແບບຈໍາລອງທີ່ເປັນປະໂຫຍດ - ເອກະສານລະດັບສູງສຸດທີ່ອະທິບາຍຢ່າງລະອຽດກ່ຽວກັບການເຮັດວຽກຂອງແຕ່ລະພະແນກແລະແຕ່ລະຕໍາແຫນ່ງ. ຕາມກົດລະບຽບ, ຂໍ້ມູນເຂົ້າໄປໃນມັນຈາກເອກະສານຕ່າງໆ: ລາຍລະອຽດວຽກແລະກົດລະບຽບສໍາລັບແຕ່ລະຫນ່ວຍງານ - ພະແນກ, ພະແນກ, ພະແນກ. ຮູບແບບການທໍາງານຕ້ອງໄດ້ຮັບການຕົກລົງກັບທຸກພະແນກທີ່ມີຄວາມສົນໃຈ (ທຸລະກິດ, ການຄວບຄຸມພາຍໃນ, ຄວາມປອດໄພ) ແລະໄດ້ຮັບການອະນຸມັດຈາກການຄຸ້ມຄອງຂອງບໍລິສັດ. ເອກະສານນີ້ແມ່ນເພື່ອຫຍັງ? ເພື່ອໃຫ້ຕົວແບບພາລະບົດບາດສາມາດອ້າງເຖິງມັນ. ສໍາລັບຕົວຢ່າງ, ທ່ານກໍາລັງຈະສ້າງຕົວແບບໂດຍອີງໃສ່ສິດທິທີ່ມີຢູ່ແລ້ວຂອງພະນັກງານ - ອອກຈາກລະບົບແລະ "ຫຼຸດລົງເປັນຕົວຫານທົ່ວໄປ". ຫຼັງຈາກນັ້ນ, ເມື່ອຕົກລົງກ່ຽວກັບບົດບາດທີ່ໄດ້ຮັບກັບເຈົ້າຂອງທຸລະກິດຂອງລະບົບ, ທ່ານສາມາດອ້າງອີງເຖິງຈຸດສະເພາະໃດຫນຶ່ງໃນຮູບແບບການທໍາງານ, ບົນພື້ນຖານຂອງສິດນີ້ຫຼືສິດທິນັ້ນລວມຢູ່ໃນພາລະບົດບາດ.

ຂັ້ນຕອນ 2. ພວກເຮົາກວດສອບລະບົບ IT ແລະສ້າງແຜນບູລິມະສິດ

ໃນຂັ້ນຕອນທີສອງ, ທ່ານຄວນດໍາເນີນການກວດສອບລະບົບ IT ເພື່ອເຂົ້າໃຈວິທີການເຂົ້າເຖິງພວກມັນຖືກຈັດຕັ້ງ. ຕົວຢ່າງ, ບໍລິສັດທາງດ້ານການເງິນຂອງຂ້ອຍໄດ້ດໍາເນີນການຫຼາຍຮ້ອຍລະບົບຂໍ້ມູນຂ່າວສານ. ລະບົບທັງຫມົດມີບາງສ່ວນຂອງການຄຸ້ມຄອງທີ່ອີງໃສ່ບົດບາດ, ສ່ວນຫຼາຍແມ່ນມີບົດບາດບາງຢ່າງ, ແຕ່ສ່ວນຫຼາຍແມ່ນຢູ່ໃນເອກະສານຫຼືຢູ່ໃນລະບົບ - ພວກມັນລ້າສະໄຫມດົນນານ, ແລະການເຂົ້າເຖິງພວກມັນແມ່ນໄດ້ຮັບການອະນຸຍາດໂດຍອີງໃສ່ຄໍາຮ້ອງຂໍຂອງຜູ້ໃຊ້ຕົວຈິງ. ຕາມທໍາມະຊາດ, ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະສ້າງຕົວແບບໃນຫຼາຍຮ້ອຍລະບົບໃນເວລາດຽວກັນ; ເຈົ້າຕ້ອງເລີ່ມຕົ້ນຢູ່ບ່ອນໃດບ່ອນຫນຶ່ງ. ພວກເຮົາໄດ້ເຮັດການວິເຄາະໃນຄວາມເລິກຂອງຂະບວນການຄວບຄຸມການເຂົ້າເຖິງເພື່ອກໍານົດລະດັບຂອງການເຕີບໂຕເຕັມຂອງມັນ. ໃນລະຫວ່າງຂະບວນການວິເຄາະ, ເງື່ອນໄຂສໍາລັບການຈັດລໍາດັບຄວາມສໍາຄັນຂອງລະບົບຂໍ້ມູນຂ່າວສານໄດ້ຖືກພັດທະນາ - ຄວາມສໍາຄັນ, ຄວາມພ້ອມ, ແຜນການສໍາລັບການປົດຕໍາແຫນ່ງ, ແລະອື່ນໆ. ດ້ວຍ​ການ​ຊ່ວຍ​ເຫຼືອ​ຂອງ​ເຂົາ​ເຈົ້າ, ພວກ​ເຮົາ​ໄດ້​ຈັດ​ຕັ້ງ​ການ​ພັດ​ທະ​ນາ / ການ​ປັບ​ປຸງ​ແບບ​ຢ່າງ​ສໍາ​ລັບ​ລະ​ບົບ​ເຫຼົ່າ​ນີ້. ແລະຫຼັງຈາກນັ້ນພວກເຮົາໄດ້ລວມເອົາແບບຢ່າງໃນແຜນການສໍາລັບການເຊື່ອມໂຍງກັບການແກ້ໄຂການຄຸ້ມຄອງຕົວຕົນເພື່ອອັດຕະໂນມັດການຄຸ້ມຄອງການເຂົ້າເຖິງ.

ດັ່ງນັ້ນທ່ານຈະກໍານົດຄວາມສໍາຄັນຂອງລະບົບແນວໃດ? ຕອບຕົວເອງກັບຄໍາຖາມຕໍ່ໄປນີ້:

• ລະບົບການເຊື່ອມໂຍງກັບຂະບວນການປະຕິບັດງານທີ່ກິດຈະກໍາຫຼັກຂອງບໍລິສັດແມ່ນຂຶ້ນກັບບໍ?
• ການຂັດຂວາງລະບົບຈະສົ່ງຜົນກະທົບຕໍ່ຄວາມສົມບູນຂອງຊັບສິນຂອງບໍລິສັດບໍ?
• ເວລາຢຸດທີ່ອະນຸຍາດສູງສຸດຂອງລະບົບແມ່ນຫຍັງ, ເຊິ່ງມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຟື້ນຟູກິດຈະກໍາຫຼັງຈາກການຂັດຂວາງ?
• ການລະເມີດຄວາມສົມບູນຂອງຂໍ້ມູນໃນລະບົບສາມາດນໍາໄປສູ່ຜົນສະທ້ອນທີ່ບໍ່ສາມາດປ່ຽນແປງໄດ້, ທັງທາງດ້ານການເງິນແລະຊື່ສຽງ?
• ຄວາມສຳຄັນຕໍ່ການສໍ້ໂກງ. ການປະກົດຕົວຂອງຫນ້າທີ່, ຖ້າບໍ່ມີການຄວບຄຸມຢ່າງຖືກຕ້ອງ, ອາດຈະນໍາໄປສູ່ການສໍ້ໂກງພາຍໃນ / ພາຍນອກ;
• ຂໍ້ກໍານົດດ້ານກົດຫມາຍແລະກົດລະບຽບພາຍໃນແລະຂັ້ນຕອນຂອງລະບົບເຫຼົ່ານີ້ແມ່ນຫຍັງ? ຈະຖືກປັບໃຫມຈາກຜູ້ຄວບຄຸມສໍາລັບການບໍ່ປະຕິບັດຕາມບໍ?

ໃນບໍລິສັດການເງິນຂອງພວກເຮົາ, ພວກເຮົາໄດ້ດໍາເນີນການກວດສອບແບບນີ້. ການຄຸ້ມຄອງໄດ້ພັດທະນາຂັ້ນຕອນການກວດສອບສິດການເຂົ້າເຖິງເພື່ອເບິ່ງຜູ້ໃຊ້ທີ່ມີຢູ່ແລະສິດທິທໍາອິດໃນລະບົບຂໍ້ມູນເຫຼົ່ານັ້ນທີ່ຢູ່ໃນບັນຊີລາຍຊື່ບູລິມະສິດສູງສຸດ. ພະແນກຄວາມປອດໄພໄດ້ຖືກມອບຫມາຍໃຫ້ເປັນເຈົ້າຂອງຂະບວນການນີ້. ແຕ່ເພື່ອໃຫ້ໄດ້ຮູບພາບຄົບຖ້ວນສົມບູນຂອງສິດທິໃນການເຂົ້າເຖິງຂອງບໍລິສັດ, ມັນຈໍາເປັນຕ້ອງມີສ່ວນຮ່ວມກັບພະແນກ IT ແລະທຸລະກິດໃນຂະບວນການ. ແລະຢູ່ທີ່ນີ້, ການຂັດແຍ້ງ, ຄວາມເຂົ້າໃຈຜິດ, ແລະບາງຄັ້ງກໍ່ມີການລ່ວງລະເມີດໄດ້ເລີ່ມຕົ້ນ: ບໍ່ມີໃຜຕ້ອງການທີ່ຈະແຍກອອກຈາກຄວາມຮັບຜິດຊອບໃນປະຈຸບັນຂອງພວກເຂົາແລະມີສ່ວນຮ່ວມໃນບາງກິດຈະກໍາທີ່ບໍ່ສາມາດເຂົ້າໃຈໄດ້.

NB ບໍລິສັດຂະຫນາດໃຫຍ່ທີ່ມີຂະບວນການ IT ພັດທະນາແມ່ນອາດຈະຄຸ້ນເຄີຍກັບຂັ້ນຕອນການກວດສອບ IT - ການຄວບຄຸມທົ່ວໄປຂອງ IT (ITGC), ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດຂໍ້ບົກຜ່ອງໃນຂະບວນການ IT ແລະສ້າງການຄວບຄຸມເພື່ອປັບປຸງຂະບວນການຕາມການປະຕິບັດທີ່ດີທີ່ສຸດ (ITIL, COBIT, IT. ການປົກຄອງແລະອື່ນໆ) ການກວດສອບດັ່ງກ່າວເຮັດໃຫ້ IT ແລະທຸລະກິດສາມາດເຂົ້າໃຈກັນແລະກັນແລະສ້າງຍຸດທະສາດການພັດທະນາຮ່ວມກັນ, ວິເຄາະຄວາມສ່ຽງ, ເພີ່ມປະສິດທິພາບຄ່າໃຊ້ຈ່າຍ, ແລະພັດທະນາວິທີການເຮັດວຽກທີ່ມີປະສິດທິພາບຫຼາຍຂຶ້ນ.



ຫນຶ່ງໃນພື້ນທີ່ຂອງການກວດສອບແມ່ນເພື່ອກໍານົດຕົວກໍານົດການຂອງການເຂົ້າເຖິງຢ່າງມີເຫດຜົນແລະທາງດ້ານຮ່າງກາຍກັບລະບົບຂໍ້ມູນຂ່າວສານ. ພວກ​ເຮົາ​ໄດ້​ເອົາ​ຂໍ້​ມູນ​ທີ່​ໄດ້​ມາ​ເປັນ​ພື້ນຖານ​ເພື່ອ​ນຳ​ໃຊ້​ໃນ​ການ​ສ້າງ​ຕົວ​ແບບ. ຜົນຂອງການກວດສອບນີ້, ພວກເຮົາໄດ້ມີການລົງທະບຽນຂອງລະບົບ IT, ເຊິ່ງຕົວກໍານົດການດ້ານວິຊາການຂອງພວກເຂົາໄດ້ຖືກກໍານົດແລະຄໍາອະທິບາຍໄດ້ຖືກມອບໃຫ້. ນອກຈາກນັ້ນ, ສໍາລັບແຕ່ລະລະບົບ, ເຈົ້າຂອງໄດ້ຖືກກໍານົດຈາກທິດທາງທຸລະກິດທີ່ມີຄວາມສົນໃຈໃນການດໍາເນີນງານ: ມັນແມ່ນຜູ້ທີ່ຮັບຜິດຊອບຕໍ່ຂະບວນການທຸລະກິດທີ່ລະບົບນີ້ຮັບໃຊ້. ຜູ້ຈັດການບໍລິການ IT ກໍ່ໄດ້ຖືກແຕ່ງຕັ້ງ, ຮັບຜິດຊອບໃນການປະຕິບັດດ້ານວິຊາການຂອງຄວາມຕ້ອງການຂອງທຸລະກິດສໍາລັບ IS ສະເພາະ. ລະບົບທີ່ສໍາຄັນສໍາລັບບໍລິສັດແລະຕົວກໍານົດການດ້ານວິຊາການຂອງເຂົາເຈົ້າ, ຂໍ້ກໍານົດຂອງຄະນະກໍາມະແລະ decommissioning, ແລະອື່ນໆແມ່ນໄດ້ຖືກບັນທຶກໄວ້.

ຂັ້ນຕອນທີ 3 ສ້າງວິທີການ

ກຸນແຈສໍາລັບຄວາມສໍາເລັດຂອງທຸລະກິດໃດກໍ່ຕາມແມ່ນວິທີການທີ່ຖືກຕ້ອງ. ດັ່ງນັ້ນ, ທັງເພື່ອສ້າງຕົວແບບແລະການປະຕິບັດການກວດສອບ, ພວກເຮົາຈໍາເປັນຕ້ອງສ້າງວິທີການທີ່ພວກເຮົາອະທິບາຍການພົວພັນລະຫວ່າງພະແນກ, ການສ້າງຄວາມຮັບຜິດຊອບໃນກົດລະບຽບຂອງບໍລິສັດ, ແລະອື່ນໆ.
ກ່ອນອື່ນ ໝົດ, ທ່ານ ຈຳ ເປັນຕ້ອງກວດເບິ່ງເອກະສານທີ່ມີຢູ່ທັງ ໝົດ ທີ່ສ້າງຂັ້ນຕອນການໃຫ້ການເຂົ້າເຖິງແລະສິດທິ. ໃນທາງທີ່ດີ, ຂະບວນການຄວນໄດ້ຮັບການບັນທຶກຢູ່ໃນຫຼາຍລະດັບ:

• ຄວາມຕ້ອງການທົ່ວໄປຂອງບໍລິສັດ;
• ຂໍ້​ກໍາ​ນົດ​ສໍາ​ລັບ​ຂົງ​ເຂດ​ຄວາມ​ປອດ​ໄພ​ຂໍ້​ມູນ​ຂ່າວ​ສານ (ຂຶ້ນ​ກັບ​ຂົງ​ເຂດ​ຂອງ​ກິດ​ຈະ​ກໍາ​ຂອງ​ອົງ​ການ​ຈັດ​ຕັ້ງ​)​;
• ຂໍ້ກໍານົດສໍາລັບຂະບວນການເຕັກໂນໂລຢີ (ຄໍາແນະນໍາ, ການເຂົ້າເຖິງ matrices, ຄໍາແນະນໍາ, ຂໍ້ກໍານົດການຕັ້ງຄ່າ).

ໃນບໍລິສັດການເງິນຂອງພວກເຮົາ, ພວກເຮົາພົບເຫັນເອກະສານທີ່ລ້າສະໄຫມຫຼາຍ; ພວກເຮົາຕ້ອງນໍາມັນມາໃຫ້ສອດຄ່ອງກັບຂະບວນການໃຫມ່ທີ່ກໍາລັງປະຕິບັດ.

ໂດຍຄໍາສັ່ງຂອງການຄຸ້ມຄອງ, ກຸ່ມເຮັດວຽກໄດ້ຖືກສ້າງຕັ້ງຂື້ນ, ເຊິ່ງລວມມີຜູ້ຕາງຫນ້າຈາກຄວາມປອດໄພ, ໄອທີ, ທຸລະກິດແລະການຄວບຄຸມພາຍໃນ. ຄໍາສັ່ງດັ່ງກ່າວໄດ້ກໍານົດເປົ້າຫມາຍຂອງການສ້າງກຸ່ມ, ທິດທາງຂອງກິດຈະກໍາ, ໄລຍະເວລາຂອງການມີຢູ່ແລະຜູ້ທີ່ຮັບຜິດຊອບຈາກແຕ່ລະຝ່າຍ. ນອກຈາກນັ້ນ, ພວກເຮົາໄດ້ພັດທະນາວິທີການກວດສອບ ແລະ ຂັ້ນຕອນການສ້າງຕົວແບບ: ເຂົາເຈົ້າໄດ້ຕົກລົງເຫັນດີຈາກຜູ້ຕາງຫນ້າທີ່ຮັບຜິດຊອບທັງໝົດຂອງຂົງເຂດ ແລະ ໄດ້ຮັບການອະນຸມັດຈາກການຄຸ້ມຄອງຂອງບໍລິສັດ.

ເອກະສານອະທິບາຍຂັ້ນຕອນການປະຕິບັດວຽກງານ, ກໍານົດເວລາ, ຄວາມຮັບຜິດຊອບ, ແລະອື່ນໆ. - ການຮັບປະກັນວ່າໃນເສັ້ນທາງໄປສູ່ເປົ້າຫມາຍທີ່ຮັກແພງ, ເຊິ່ງໃນຕອນທໍາອິດແມ່ນບໍ່ຊັດເຈນສໍາລັບທຸກຄົນ, ບໍ່ມີໃຜຈະມີຄໍາຖາມ "ເປັນຫຍັງພວກເຮົາເຮັດສິ່ງນີ້, ເປັນຫຍັງພວກເຮົາຕ້ອງການມັນ, ແລະອື່ນໆ." ແລະຈະບໍ່ມີໂອກາດທີ່ຈະ "ໂດດອອກ" ຫຼືຊ້າລົງຂະບວນການ.

ຂັ້ນຕອນທີ 4. ແກ້ໄຂພາລາມິເຕີຂອງຮູບແບບການຄວບຄຸມການເຂົ້າເຖິງທີ່ມີຢູ່ແລ້ວ

ພວກເຮົາກໍາລັງສ້າງອັນທີ່ເອີ້ນວ່າ "ຫນັງສືຜ່ານແດນລະບົບ" ໃນຂໍ້ກໍານົດຂອງການຄວບຄຸມການເຂົ້າເຖິງ. ໂດຍເນື້ອແທ້ແລ້ວ, ນີ້ແມ່ນແບບສອບຖາມກ່ຽວກັບລະບົບຂໍ້ມູນສະເພາະ, ເຊິ່ງບັນທຶກ algorithms ທັງຫມົດສໍາລັບການຄວບຄຸມການເຂົ້າເຖິງມັນ. ບໍລິສັດທີ່ໄດ້ປະຕິບັດການແກ້ໄຂ IdM-class ແລ້ວອາດຈະຄຸ້ນເຄີຍກັບແບບສອບຖາມດັ່ງກ່າວ, ເພາະວ່ານີ້ແມ່ນບ່ອນທີ່ການສຶກສາລະບົບເລີ່ມຕົ້ນ.

ບາງຕົວກໍານົດການກ່ຽວກັບລະບົບແລະເຈົ້າຂອງໄດ້ໄຫລເຂົ້າໄປໃນແບບສອບຖາມຈາກການລົງທະບຽນ IT (ເບິ່ງຂັ້ນຕອນທີ 2, ການກວດສອບ), ແຕ່ໃຫມ່ກໍ່ຖືກເພີ່ມ:

• ວິທີການຈັດການບັນຊີ (ໂດຍກົງໃນຖານຂໍ້ມູນຫຼືຜ່ານການໂຕ້ຕອບຊອບແວ);
• ຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບແນວໃດ (ໃຊ້ບັນຊີແຍກຕ່າງຫາກຫຼືໃຊ້ບັນຊີ AD, LDAP, ແລະອື່ນໆ);
• ລະດັບການເຂົ້າເຖິງລະບົບໃດທີ່ໃຊ້ (ລະດັບຄໍາຮ້ອງສະຫມັກ, ລະດັບລະບົບ, ການນໍາໃຊ້ລະບົບຂອງຊັບພະຍາກອນໄຟລ໌ເຄືອຂ່າຍ);
• ຄໍາອະທິບາຍແລະຕົວກໍານົດການຂອງເຄື່ອງແມ່ຂ່າຍທີ່ລະບົບດໍາເນີນການ;
• ການປະຕິບັດການຄຸ້ມຄອງບັນຊີໃດທີ່ໄດ້ຮັບການສະຫນັບສະຫນູນ (ການຂັດຂວາງ, ການປ່ຽນຊື່, ແລະອື່ນໆ);
• ຂັ້ນຕອນ ຫຼືກົດລະບຽບອັນໃດທີ່ໃຊ້ເພື່ອສ້າງຕົວລະບຸຜູ້ໃຊ້ຂອງລະບົບ;
• ຄຸນລັກສະນະໃດທີ່ສາມາດຖືກນໍາໃຊ້ເພື່ອສ້າງການເຊື່ອມຕໍ່ກັບບັນທຶກຂອງພະນັກງານໃນລະບົບບຸກຄະລາກອນ (ຊື່ເຕັມ, ຈໍານວນບຸກຄະລາກອນ, ແລະອື່ນໆ);
• ຄຸນ​ລັກ​ສະ​ນະ​ບັນ​ຊີ​ທີ່​ເປັນ​ໄປ​ໄດ້​ທັງ​ຫມົດ​ແລະ​ກົດ​ລະ​ບຽບ​ສໍາ​ລັບ​ການ​ຕື່ມ​ຂໍ້​ມູນ​ໃສ່​;
• ສິດທິການເຂົ້າເຖິງມີຢູ່ໃນລະບົບໃດ (ບົດບາດ, ກຸ່ມ, ສິດທິປະລໍາມະນູ, ແລະອື່ນໆ, ມີສິດຜູກມັດຫຼືລໍາດັບຊັ້ນ);
• ກົນ​ໄກ​ການ​ແບ່ງ​ສິດ​ການ​ເຂົ້າ​ເຖິງ (ໂດຍ​ຕໍາ​ແຫນ່ງ​, ພະ​ແນກ​, ການ​ທໍາ​ງານ​, ແລະ​ອື່ນໆ​)​;
• ລະບົບມີກົດລະບຽບສໍາລັບການແບ່ງແຍກສິດ (SOD – Segregation of Duties), ແລະເຮັດແນວໃດພວກເຂົາເຮັດວຽກ;
• ວິທີການທີ່ບໍ່ມີເຫດການ, ການໂອນຍ້າຍ, ການໄລ່ອອກ, ການປັບປຸງຂໍ້ມູນພະນັກງານ, ແລະອື່ນໆຖືກປະມວນຜົນໃນລະບົບ.

ບັນຊີລາຍຊື່ນີ້ສາມາດສືບຕໍ່, ລາຍລະອຽດກ່ຽວກັບພາລາມິເຕີຕ່າງໆແລະວັດຖຸອື່ນໆທີ່ມີສ່ວນຮ່ວມໃນຂະບວນການຄວບຄຸມການເຂົ້າເຖິງ.

ຂັ້ນ​ຕອນ​ທີ 5. ສ້າງ​ລາຍ​ລະ​ອຽດ​ທີ່​ສອດ​ຄ່ອງ​ກັບ​ທຸ​ລະ​ກິດ​ຂອງ​ການ​ອະ​ນຸ​ຍາດ​

ເອກະສານອື່ນທີ່ພວກເຮົາຈະຕ້ອງການໃນເວລາສ້າງແບບຢ່າງແມ່ນຫນັງສືອ້າງອີງກ່ຽວກັບອໍານາດທີ່ເປັນໄປໄດ້ທັງຫມົດ (ສິດທິ) ທີ່ສາມາດໃຫ້ຜູ້ໃຊ້ໃນລະບົບຂໍ້ມູນຂ່າວສານທີ່ມີລາຍລະອຽດກ່ຽວກັບຫນ້າທີ່ທຸລະກິດທີ່ຢືນຢູ່ເບື້ອງຫຼັງ. ປົກກະຕິແລ້ວ, ເຈົ້າຫນ້າທີ່ໃນລະບົບໄດ້ຖືກເຂົ້າລະຫັດດ້ວຍຊື່ທີ່ແນ່ນອນປະກອບດ້ວຍຕົວອັກສອນແລະຕົວເລກ, ແລະພະນັກງານທຸລະກິດບໍ່ສາມາດຊອກຫາສິ່ງທີ່ຢູ່ເບື້ອງຫຼັງສັນຍາລັກເຫຼົ່ານີ້. ຫຼັງຈາກນັ້ນ, ພວກເຂົາໄປຫາບໍລິການ IT, ແລະຢູ່ທີ່ນັ້ນ ... ພວກເຂົາຍັງບໍ່ສາມາດຕອບຄໍາຖາມໄດ້, ຕົວຢ່າງ, ກ່ຽວກັບສິດທິທີ່ບໍ່ຄ່ອຍໄດ້ໃຊ້. ຫຼັງຈາກນັ້ນ, ການທົດສອບເພີ່ມເຕີມຕ້ອງເຮັດ.

ມັນດີຖ້າມີຄໍາອະທິບາຍທຸລະກິດຢູ່ແລ້ວຫຼືເຖິງແມ່ນວ່າມີການລວມເອົາສິດທິເຫຼົ່ານີ້ເຂົ້າໄປໃນກຸ່ມແລະພາລະບົດບາດ. ສໍາລັບບາງຄໍາຮ້ອງສະຫມັກ, ການປະຕິບັດທີ່ດີທີ່ສຸດແມ່ນການສ້າງເອກະສານອ້າງອີງດັ່ງກ່າວໃນຂັ້ນຕອນການພັດທະນາ. ແຕ່ນີ້ບໍ່ໄດ້ເກີດຂຶ້ນເລື້ອຍໆ, ດັ່ງນັ້ນພວກເຮົາອີກເທື່ອຫນຶ່ງໄປຫາພະແນກ IT ເພື່ອເກັບກໍາຂໍ້ມູນກ່ຽວກັບສິດທິທີ່ເປັນໄປໄດ້ທັງຫມົດແລະອະທິບາຍໃຫ້ເຂົາເຈົ້າ. ຄູ່ມືຂອງພວກເຮົາໃນທີ່ສຸດຈະມີດັ່ງຕໍ່ໄປນີ້:

• ຊື່ຂອງສິດອຳນາດ, ລວມທັງວັດຖຸທີ່ສິດການເຂົ້າເຖິງນຳໃຊ້;
• ການກະທໍາທີ່ອະນຸຍາດໃຫ້ເຮັດກັບວັດຖຸ (ເບິ່ງ, ການປ່ຽນແປງ, ແລະອື່ນໆ, ຄວາມເປັນໄປໄດ້ຂອງການຈໍາກັດ, ຕົວຢ່າງ, ໂດຍພື້ນຖານອານາເຂດຫຼືໂດຍກຸ່ມລູກຄ້າ);
• ລະ​ຫັດ​ການ​ອະ​ນຸ​ຍາດ (ລະ​ຫັດ​ແລະ​ຊື່​ຂອງ​ການ​ທໍາ​ງານ​ຂອງ​ລະ​ບົບ / ການ​ຮ້ອງ​ຂໍ​ທີ່​ສາ​ມາດ​ໄດ້​ຮັບ​ການ​ປະ​ຕິ​ບັດ​ໂດຍ​ນໍາ​ໃຊ້​ການ​ອະ​ນຸ​ຍາດ​ໄດ້​)​;
• ລາຍ​ລະ​ອຽດ​ຂອງ​ສິດ​ອໍາ​ນາດ (ຄໍາ​ອະ​ທິ​ບາຍ​ລະ​ອຽດ​ຂອງ​ການ​ກະ​ທໍາ​ໃນ IS ໃນ​ເວ​ລາ​ທີ່​ນໍາ​ໃຊ້​ອໍາ​ນາດ​ແລະ​ຜົນ​ສະ​ທ້ອນ​ຂອງ​ເຂົາ​ເຈົ້າ​ສໍາ​ລັບ​ຂະ​ບວນ​ການ​;
• ສະຖານະສິດອະນຸຍາດ: “ນຳໃຊ້” (ຖ້າການອະນຸຍາດຖືກມອບໝາຍໃຫ້ຢ່າງໜ້ອຍໜຶ່ງຜູ້ໃຊ້) ຫຼື “ບໍ່ເຄື່ອນໄຫວ” (ຖ້າການອະນຸຍາດບໍ່ໄດ້ໃຊ້).

ຂັ້ນ​ຕອນ​ທີ 6 ພວກ​ເຮົາ​ດາວ​ນ​໌​ໂຫລດ​ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ຜູ້​ໃຊ້​ແລະ​ສິດ​ຈາກ​ລະ​ບົບ​ແລະ​ການ​ປຽບ​ທຽບ​ໃຫ້​ເຂົາ​ເຈົ້າ​ກັບ​ແຫຼ່ງ​ບຸກ​ຄົນ​

ໃນຂັ້ນຕອນສຸດທ້າຍຂອງການກະກຽມ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ດາວໂຫລດຂໍ້ມູນຈາກລະບົບຂໍ້ມູນຂ່າວສານກ່ຽວກັບຜູ້ໃຊ້ທັງຫມົດແລະສິດທິທີ່ພວກເຂົາມີໃນປະຈຸບັນ. ມີສອງສະຖານະການທີ່ເປັນໄປໄດ້ຢູ່ທີ່ນີ້. ຫນ້າທໍາອິດ: ພະແນກຄວາມປອດໄພໄດ້ເຂົ້າເຖິງລະບົບໂດຍກົງແລະມີວິທີການດາວໂຫລດບົດລາຍງານທີ່ກ່ຽວຂ້ອງ, ເຊິ່ງບໍ່ໄດ້ເກີດຂຶ້ນເລື້ອຍໆ, ແຕ່ສະດວກຫຼາຍ. ອັນທີສອງ: ພວກເຮົາສົ່ງຄໍາຮ້ອງຂໍໃຫ້ IT ໄດ້ຮັບບົດລາຍງານໃນຮູບແບບທີ່ກໍານົດໄວ້. ປະສົບການສະແດງໃຫ້ເຫັນວ່າມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຕົກລົງກັບ IT ແລະໄດ້ຮັບຂໍ້ມູນທີ່ຈໍາເປັນໃນຄັ້ງທໍາອິດ. ມັນເປັນສິ່ງຈໍາເປັນທີ່ຈະເຮັດຫຼາຍວິທີການຈົນກ່ວາຂໍ້ມູນຈະໄດ້ຮັບໃນຮູບແບບແລະຮູບແບບທີ່ຕ້ອງການ.

ຂໍ້​ມູນ​ໃດ​ທີ່​ຕ້ອງ​ການ​ດາວ​ໂຫຼດ​:

• ຊື່​ບັນ​ຊີ
• ຊື່ເຕັມຂອງພະນັກງານທີ່ມັນໄດ້ຖືກມອບຫມາຍ
• ສະ​ຖາ​ນະ (ການ​ເຄື່ອນ​ໄຫວ​ຫຼື​ຖືກ​ບລັອກ​)
• ວັນທີສ້າງບັນຊີ
• ວັນທີຂອງການນໍາໃຊ້ຄັ້ງສຸດທ້າຍ
• ລາຍຊື່ສິດ/ກຸ່ມ/ບົດບາດທີ່ມີຢູ່

ດັ່ງນັ້ນ, ພວກເຮົາໄດ້ຮັບການດາວໂຫຼດຈາກລະບົບກັບຜູ້ໃຊ້ທັງຫມົດແລະສິດທິທັງຫມົດທີ່ໄດ້ມອບໃຫ້ພວກເຂົາ. ແລະພວກເຂົາທັນທີທັນໃດບັນຊີທີ່ຖືກບລັອກທັງຫມົດ, ນັບຕັ້ງແຕ່ການເຮັດວຽກກ່ຽວກັບການສ້າງຕົວແບບຈະດໍາເນີນການພຽງແຕ່ສໍາລັບຜູ້ໃຊ້ທີ່ມີການເຄື່ອນໄຫວ.

ຫຼັງຈາກນັ້ນ, ຖ້າບໍລິສັດຂອງທ່ານບໍ່ມີວິທີການອັດຕະໂນມັດໃນການຂັດຂວາງການເຂົ້າເຖິງພະນັກງານທີ່ຖືກໄລ່ອອກ (ນີ້ມັກຈະເກີດຂື້ນ) ຫຼືມີລະບົບອັດຕະໂນມັດ patchwork ທີ່ບໍ່ເຮັດວຽກຢ່າງຖືກຕ້ອງ, ທ່ານຈໍາເປັນຕ້ອງກໍານົດ "ຈິດວິນຍານທີ່ຕາຍແລ້ວ." ພວກເຮົາກໍາລັງເວົ້າກ່ຽວກັບບັນຊີຂອງພະນັກງານທີ່ຖືກໄລ່ອອກແລ້ວ, ເຊິ່ງສິດທິບໍ່ໄດ້ຖືກບລັອກດ້ວຍເຫດຜົນບາງຢ່າງ - ພວກເຂົາຈໍາເປັນຕ້ອງຖືກບລັອກ. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາປຽບທຽບຂໍ້ມູນທີ່ອັບໂຫລດກັບແຫຼ່ງບຸກຄະລາກອນ. ການ​ຍົກ​ຍ້າຍ​ບຸກ​ຄະ​ລາ​ກອນ​ຍັງ​ຕ້ອງ​ໄດ້​ຮັບ​ການ​ລ່ວງ​ຫນ້າ​ຈາກ​ພະ​ແນກ​ການ​ຮັກ​ສາ​ຖານ​ຂໍ້​ມູນ​ບຸກ​ຄະ​ລາ​ກອນ.

ແຍກຕ່າງຫາກ, ມັນຈໍາເປັນຕ້ອງໄດ້ກໍານົດຫລີກໄປທາງຫນຶ່ງບັນຊີທີ່ເຈົ້າຂອງບໍ່ໄດ້ພົບເຫັນຢູ່ໃນຖານຂໍ້ມູນບຸກຄະລາກອນ, ບໍ່ໄດ້ມອບຫມາຍໃຫ້ໃຜ - ນັ້ນແມ່ນ, ບໍ່ມີເຈົ້າຂອງ. ການນໍາໃຊ້ບັນຊີລາຍຊື່ນີ້, ພວກເຮົາຈະຕ້ອງການວັນທີຂອງການນໍາໃຊ້ຄັ້ງສຸດທ້າຍ: ຖ້າມັນຂ້ອນຂ້າງບໍ່ດົນມານີ້, ພວກເຮົາຈະຕ້ອງຊອກຫາເຈົ້າຂອງ. ນີ້ອາດຈະປະກອບມີບັນຊີຂອງຜູ້ຮັບເຫມົາພາຍນອກຫຼືບັນຊີການບໍລິການທີ່ບໍ່ໄດ້ມອບຫມາຍໃຫ້ໃຜ, ແຕ່ກ່ຽວຂ້ອງກັບຂະບວນການໃດໆ. ເພື່ອຊອກຫາຜູ້ທີ່ບັນຊີເປັນຂອງ, ທ່ານສາມາດສົ່ງຈົດຫມາຍໄປຫາທຸກພະແນກການຂໍໃຫ້ພວກເຂົາຕອບ. ເມື່ອເຈົ້າຂອງຖືກພົບເຫັນ, ພວກເຮົາໃສ່ຂໍ້ມູນກ່ຽວກັບພວກມັນເຂົ້າໄປໃນລະບົບ: ດ້ວຍວິທີນີ້, ບັນຊີທີ່ໃຊ້ວຽກທັງຫມົດແມ່ນຖືກກໍານົດ, ແລະສ່ວນທີ່ເຫຼືອແມ່ນຖືກບລັອກ.

ທັນທີທີ່ການອັບໂຫລດຂອງພວກເຮົາຖືກລຶບລ້າງບັນທຶກທີ່ບໍ່ຈໍາເປັນ ແລະມີພຽງແຕ່ບັນຊີທີ່ເຄື່ອນໄຫວເທົ່ານັ້ນ, ພວກເຮົາສາມາດເລີ່ມສ້າງຕົວແບບສໍາລັບລະບົບຂໍ້ມູນສະເພາະ. ແຕ່ຂ້ອຍຈະບອກເຈົ້າກ່ຽວກັບເລື່ອງນີ້ໃນບົດຄວາມຕໍ່ໄປ.

ຜູ້ຂຽນ: Lyudmila Sevastyanova, ຜູ້ຈັດການສົ່ງເສີມ Solar inRights

ແຫຼ່ງຂໍ້ມູນ: www.habr.com