{"id":87793,"date":"2020-07-10T13:41:57","date_gmt":"2020-07-10T11:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya"},"modified":"2020-07-10T13:41:57","modified_gmt":"2020-07-10T11:41:57","slug":"stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","title":{"rendered":"Vytv\u00e1rame rolu modelu spr\u00e1vy pr\u00edstupu. \u010cas\u0165 prv\u00e1, pr\u00edpravn\u00e1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Teraz pracujem vo firme, ktor\u00e1 je dod\u00e1vate\u013eom softv\u00e9ru, konkr\u00e9tne rie\u0161en\u00ed na riadenie pr\u00edstupu. M\u00f4j predch\u00e1dzaj\u00faci z\u00e1\u017eitok s\u00favis\u00ed s klientskou stranou - ve\u013ekou finan\u010dnou in\u0161tit\u00faciou. Vtedy na\u0161a skupina na kontrolu pr\u00edstupu v oddelen\u00ed informa\u010dnej bezpe\u010dnosti nemohla uk\u00e1za\u0165 ve\u013ek\u00e9 kompetencie v oblasti IdM. Mnoho sme sa nau\u010dili po\u010das procesu, museli sme si pre\u017ei\u0165 ve\u013ea \u0165a\u017ekost\u00ed, aby sme vo firme vytvorili funguj\u00faci mechanizmus spr\u00e1vy opr\u00e1vnen\u00ed pou\u017e\u00edvate\u013eov v informa\u010dn\u00fdch syst\u00e9moch.
\n\"Vytv\u00e1rame
\nSpojen\u00edm svojich \u0165a\u017eko z\u00edskan\u00fdch sk\u00fasenost\u00ed z klientskej strany s dod\u00e1vate\u013esk\u00fdmi znalos\u0165ami a kompetenciami chcem s vami zdie\u013ea\u0165 podrobn\u00fd n\u00e1vod: ako vytvori\u0165 vo ve\u013ekej spolo\u010dnosti model riadenia pr\u00edstupu na z\u00e1klade rol\u00ed a ak\u00e9 to bude ma\u0165 v\u00fdhody. M\u00f4j n\u00e1vod sa sklad\u00e1 z dvoch \u010dast\u00ed: prv\u00e1 - pripravujeme sa na vytvorenie modelu, druh\u00e1 - samotn\u00e1 v\u00fdstavba modelu. Pred vami je prv\u00e1 \u010das\u0165, pr\u00edpravn\u00e1.
\n<\/a><\/noindex>
\nN.B.<\/b> Vytvorenie modelu rol\u00ed je, \u017eia\u013e, procesom, nie v\u00fdsledkom. Presnej\u0161ie povedan\u00e9, je to \u010das\u0165 procesu budovania ekosyst\u00e9mu riadenia pr\u00edstupu vo firme. Preto sa pripravte na dlhodob\u00fa hru.
\n<\/i>
\nNajprv si ujasnime, \u010do vlastne znamen\u00e1 riadenie pr\u00edstupu na z\u00e1klade rol\u00ed? Predpokladajme, \u017ee m\u00e1te ve\u013ek\u00fa banku s desiatkami alebo dokonca stovkami tis\u00edc zamestnancov (subjektov), z ktor\u00fdch ka\u017ed\u00fd m\u00e1 desiatky pr\u00e1v na pr\u00edstup k stovk\u00e1m intern\u00fdch informa\u010dn\u00fdch syst\u00e9mov (objektov). Teraz vyn\u00e1sobte po\u010det objektov po\u010dtom subjektov - presne to\u013eko vz\u0165ahov minim\u00e1lne potrebujete najprv vybudova\u0165 a n\u00e1sledne kontrolova\u0165. Je mo\u017en\u00e9 to spravi\u0165 ru\u010dne? Samozrejme, \u017ee nie - na vyrie\u0161enie tejto \u00falohy vznikli role.<\/p>\n

Rola je s\u00fabor opr\u00e1vnen\u00ed, ktor\u00fd je potrebn\u00fd pou\u017e\u00edvate\u013eovi alebo skupine pou\u017e\u00edvate\u013eov na vykon\u00e1vanie ur\u010dit\u00fdch pracovn\u00fdch \u00faloh. Ka\u017ed\u00fd zamestnanec m\u00f4\u017ee ma\u0165 jednu alebo viac rol\u00ed a ka\u017ed\u00e1 rola m\u00f4\u017ee obsahova\u0165 od jedn\u00e9ho po mno\u017estvo opr\u00e1vnen\u00ed, ktor\u00e9 s\u00fa pou\u017e\u00edvate\u013eovi povolen\u00e9 v r\u00e1mci tejto role. Roly m\u00f4\u017eu by\u0165 viazan\u00e9 na konkr\u00e9tne pracovn\u00e9 poz\u00edcie, oddelenia alebo funk\u010dn\u00e9 \u00falohy zamestnancov.<\/p>\n

\"Vytv\u00e1rame
\n
\nRoly sa zvy\u010dajne vytv\u00e1raj\u00fa z jednotliv\u00fdch opr\u00e1vnen\u00ed zamestnanca v ka\u017ed\u00e9ho informa\u010dn\u00e9ho syst\u00e9mu. N\u00e1sledne sa z rol\u00ed ka\u017ed\u00e9ho syst\u00e9mu formuj\u00fa glob\u00e1lne obchodn\u00e9 roly. Napr\u00edklad, obchodn\u00e1 rola \u201e\u00faverov\u00fd mana\u017e\u00e9r\u201c bude zah\u0155\u0148a\u0165 nieko\u013eko jednotliv\u00fdch rol\u00ed v informa\u010dn\u00fdch syst\u00e9moch, ktor\u00e9 sa pou\u017e\u00edvaj\u00fa v klientskom kancel\u00e1rii banky. Povedzme, v tak\u00fdch, ako je hlavn\u00fd automatizovan\u00fd bankov\u00fd syst\u00e9m, pokladni\u010dn\u00fd modul, syst\u00e9m elektronick\u00e9ho obehov\u00e9ho dokumentu, servisn\u00fd mana\u017e\u00e9r a in\u00e9. Obchodn\u00e9 roly sa zvy\u010dajne via\u017eu na organiza\u010dn\u00fa \u0161trukt\u00faru \u2013 in\u00fdmi slovami, na s\u00fabor oddelen\u00ed spolo\u010dnosti a poz\u00edci\u00ed v nich. Takto sa vytv\u00e1ra glob\u00e1lna rolov\u00e1 matica (pr\u00edklad uv\u00e1dzam v tabu\u013eke ni\u017e\u0161ie).<\/p>\n

\"Vytv\u00e1rame
\n
\nTreba poznamena\u0165, \u017ee vytvori\u0165 100% rolov\u00fd model, ktor\u00fd zabezpe\u010d\u00ed v\u0161etk\u00fdmi potrebn\u00fdmi pr\u00e1vami zamestnancov ka\u017edej poz\u00edcie v komer\u010dnej \u0161trukt\u00fare, je jednoducho nemo\u017en\u00e9. A ani to nie je potrebn\u00e9. Ve\u010f rolov\u00fd model nem\u00f4\u017ee by\u0165 statick\u00fd, preto\u017ee z\u00e1vis\u00ed od neust\u00e1le sa meniaceho prostredia. A od zmien v obchodnej \u010dinnosti spolo\u010dnosti, \u010do n\u00e1sledne ovplyv\u0148uje zmenu organiza\u010dnej \u0161trukt\u00fary a funkci\u00ed. A od nedostatku pln\u00e9ho zabezpe\u010denia zdrojmi, a od nedodr\u017eiavania pracovn\u00fdch in\u0161trukci\u00ed, a od sna\u017eenia sa o zisk na \u00fakor bezpe\u010dnosti, a od mnoh\u00fdch \u010fal\u0161\u00edch faktorov. Preto je potrebn\u00e9 vytvori\u0165 rolov\u00fd model, ktor\u00fd dok\u00e1\u017ee pokry\u0165 a\u017e 80% potrieb pou\u017e\u00edvate\u013eov v potrebn\u00fdch z\u00e1kladn\u00fdch pr\u00e1vach pri vymenovan\u00ed na poz\u00edciu. A zvy\u0161n\u00fdch 20% si bud\u00fa m\u00f4c\u0165, ak bude potrebn\u00e9, e\u0161te nesk\u00f4r dodato\u010dne po\u017eadova\u0165 prostredn\u00edctvom samostatn\u00fdch \u017eiadost\u00ed.<\/p>\n

Samozrejme, m\u00f4\u017eete sa op\u00fdta\u0165: \u201eA \u010do, v\u00f4bec nie s\u00fa 100% rolov\u00e9 modely?\u201c No pre\u010do nie, tak\u00e9 sa vyskytuj\u00fa, napr\u00edklad v neziskov\u00fdch \u0161trukt\u00farach, ktor\u00e9 nie s\u00fa vystaven\u00e9 \u010dast\u00fdm zmen\u00e1m, \u2013 v nejakom v\u00fdskumnom \u00fastave. Alebo v organiz\u00e1ci\u00e1ch obrann\u00e9ho priemyslu s vysokou \u00farov\u0148ou zabezpe\u010denia, kde je bezpe\u010dnos\u0165 na prvom mieste. St\u00e1va sa, a v komer\u010dnej \u0161trukt\u00fare, ale v r\u00e1mci samostatne vzat\u00e9ho oddelenia, ktor\u00e9ho pr\u00e1ca je dostato\u010dne statick\u00fdm a predv\u00eddate\u013en\u00fdm procesom.<\/p>\n

Hlavnou v\u00fdhodou rolov\u00e9ho riadenia je zjednodu\u0161enie vyd\u00e1vania pr\u00e1v, preto\u017ee po\u010det rol\u00ed je podstatne men\u0161\u00ed ako po\u010det pou\u017e\u00edvate\u013eov informa\u010dn\u00e9ho syst\u00e9mu. A to plat\u00ed pre ak\u00e9ko\u013evek odvetvie.<\/p>\n

Zoberme si maloobchodn\u00fa spolo\u010dnos\u0165: v nej pracuj\u00fa tis\u00edce predajcov, ale s\u00fabor pr\u00e1v v syst\u00e9me N je pre nich rovnak\u00fd, a pre nich sa vytvor\u00ed len jedna rola. Pri\u0161iel do spolo\u010dnosti nov\u00fd predajca \u2013 automaticky mu je priraden\u00e1 potrebn\u00e1 rola v syst\u00e9me, v ktorom u\u017e s\u00fa v\u0161etky potrebn\u00e9 opr\u00e1vnenia. Takisto jedn\u00fdm kliknut\u00edm m\u00f4\u017eete zmeni\u0165 pr\u00e1va pre tis\u00edce predajcov naraz, napr\u00edklad prida\u0165 nov\u00fa mo\u017enos\u0165 pre generovanie hl\u00e1senia. Neme\u0148te tis\u00edc oper\u00e1ci\u00ed, prip\u00e1jaj\u00fac nov\u00e9 pr\u00e1vo k ka\u017edej \u00fa\u010dtovnej polo\u017eke \u2013 sta\u010d\u00ed prida\u0165 t\u00fato mo\u017enos\u0165 do roly a t\u00e1 sa objav\u00ed u v\u0161etk\u00fdch predajcov s\u00fa\u010dasne.<\/p>\n

\u010eal\u0161ou v\u00fdhodou rolov\u00e9ho riadenia je vyl\u00fa\u010denie pridelenia nekompatibiln\u00fdch opr\u00e1vnen\u00ed. To znamen\u00e1, \u017ee zamestnanec, ktor\u00fd m\u00e1 ur\u010dit\u00fa rolu v syst\u00e9me, nem\u00f4\u017ee ma\u0165 s\u00fa\u010dasne in\u00fa rolu, ktor\u00fdch pr\u00e1va by sa nemali kombinova\u0165 s pr\u00e1vami v prvej. Jasn\u00fd pr\u00edklad \u2013 z\u00e1kaz kombinovania funkci\u00ed zad\u00e1vania a kontroly finan\u010dnej oper\u00e1cie.<\/p>\n

V\u0161etci, ktor\u00fdch zauj\u00edma, ako sa vlastne objavilo rolov\u00e9 riadenie pr\u00edstupu, m\u00f4\u017eu
\n zapoji\u0165 sa do v\u00fdletu do hist\u00f3rie<\/b>
\n Ak sa pozrieme do hist\u00f3rie, IT komunita sa prv\u00fdkr\u00e1t zamyslela nad met\u00f3dami riadenia pr\u00edstupu u\u017e v 70. rokoch 20. storo\u010dia. Hoci aplik\u00e1cie boli v tom \u010dase dos\u0165 jednoduch\u00e9, ale ako aj dnes, v\u0161etk\u00fdm z\u00e1le\u017ealo na tom, aby sa pr\u00edstup k nim pohodlne riadil. Poskytova\u0165, meni\u0165 a kontrolova\u0165 pr\u00e1va pou\u017e\u00edvate\u013eov \u2013 len aby sa \u013eah\u0161ie ch\u00e1palo, ak\u00fd pr\u00edstup m\u00e1 ka\u017ed\u00fd z nich. Ale v t\u00fa dobu neexistovali \u017eiadne spolo\u010dn\u00e9 \u0161tandardy, vyv\u00edjali sa prv\u00e9 syst\u00e9my na riadenie pr\u00edstupu, a ka\u017ed\u00e1 spolo\u010dnos\u0165 sa zakladala na svojich vlastn\u00fdch predstav\u00e1ch a pravidl\u00e1ch.<\/p>\n

Teraz je u\u017e zn\u00e1mych mnoho r\u00f4znych modelov riadenia pr\u00edstupu, ale objavili sa nie hne\u010f. Zastavme sa pri t\u00fdch, ktor\u00e9 v\u00fdznamne prispeli k rozvoju tohto smerovania.<\/p>\n

Prv\u00fd a pravdepodobne najjednoduch\u0161\u00ed model \u2013 Diskre\u010dn\u00e1 (v\u00fdberov\u00e1) spr\u00e1va pr\u00edstupu<\/b> (DAC \u2013 Discretionary access control). Tento model predpoklad\u00e1 zdie\u013eanie pr\u00e1v v\u0161etk\u00fdmi \u00fa\u010dastn\u00edkmi procesu pr\u00edstupu. Ka\u017ed\u00fd pou\u017e\u00edvate\u013e m\u00e1 pr\u00edstup k konkr\u00e9tnym objektom alebo oper\u00e1ci\u00e1m. V podstate tu mno\u017estvo subjektov pr\u00e1v zodpoved\u00e1 mno\u017estvu objektov. Tento model bol uznan\u00fd za pr\u00edli\u0161 flexibiln\u00fd a pr\u00edli\u0161 zlo\u017eit\u00fd na udr\u017eanie: zoznamy pr\u00edstupu sa \u010dasom st\u00e1vaj\u00fa obrovsk\u00fdmi a \u0165a\u017eko kontrolovate\u013en\u00fdmi.<\/p>\n

Druh\u00fd model je Mand\u00e1tne riadenie pr\u00edstupu (MAC \u2014 Mandatory access control)<\/b>. Pod\u013ea tohto modelu ka\u017ed\u00fd pou\u017e\u00edvate\u013e dost\u00e1va pr\u00edstup k objektu na z\u00e1klade schv\u00e1lenia pre ur\u010dit\u00fa \u00farove\u0148 d\u00f4vernosti d\u00e1t. Zodpovedaj\u00face objekty musia by\u0165 kategorizovan\u00e9 pod\u013ea \u00farovne d\u00f4vernosti. Na rozdiel od prv\u00e9ho flexibiln\u00e9ho modelu sa tento naopak uk\u00e1zal ako pr\u00edli\u0161 pr\u00edsny a obmedzuj\u00faci. Jeho aplik\u00e1cia sa neospravedl\u0148uje, ke\u010f m\u00e1 spolo\u010dnos\u0165 mno\u017estvo rozmanit\u00fdch informa\u010dn\u00fdch zdrojov: na to, aby sa rozli\u0161oval pr\u00edstup k r\u00f4znym zdrojom, bude potrebn\u00e9 zav\u00e1dza\u0165 mno\u017estvo kateg\u00f3ri\u00ed, ktor\u00e9 sa nebud\u00fa prekry\u0165.<\/p>\n

V s\u00favislosti s o\u010dividn\u00fdmi nedokonalos\u0165ami t\u00fdchto dvoch met\u00f3d IT komunita pokra\u010dovala vo v\u00fdvoji modelov, ktor\u00e9 s\u00fa flexibilnej\u0161ie a viac-menej univerz\u00e1lne na podporu r\u00f4znych typov organiza\u010dn\u00fdch polit\u00edk riadenia pr\u00edstupu. A tak sa objavila tretia model riadenia pr\u00edstupu zalo\u017een\u00fd na rol\u00e1ch!<\/b> Tento pr\u00edstup sa uk\u00e1zal ako najperspekt\u00edvnej\u0161\u00ed, preto\u017ee vy\u017eaduje nielen autoriz\u00e1ciu identity pou\u017e\u00edvate\u013ea, ale aj jeho pracovn\u00e9 funkcie v syst\u00e9moch.<\/p>\n

Prv\u00fa presne op\u00edsan\u00fa \u0161trukt\u00faru rolov\u00e9ho modelu navrhli americk\u00ed vedci David Ferraiolo a Richard Kuhn z N\u00e1rodn\u00e9ho in\u0161tit\u00fatu \u0161tandardov a technol\u00f3gi\u00ed USA v roku 1992. Vtedy sa po prv\u00fdkr\u00e1t objavil term\u00edn RBAC (Role-based access control). <\/b>Tieto v\u00fdskumy a opisy hlavn\u00fdch komponentov, ako aj ich vz\u00e1jomn\u00fdch s\u00favislost\u00ed le\u017eia v z\u00e1kladoch aktu\u00e1lneho \u0161tandardu INCITS 359-2012, ktor\u00fd schv\u00e1lil Medzin\u00e1rodn\u00fd v\u00fdbor pre \u0161tandardy informa\u010dn\u00fdch technol\u00f3gi\u00ed (INCITS).<\/p>\n

\u0160tandard definuje rolu ako \u201epracovn\u00fa funkciu v r\u00e1mci organiz\u00e1cie s ur\u010ditou priradenou s\u00e9mantikou v s\u00favislosti s pr\u00e1vomocami a zodpovednos\u0165ou, ktor\u00fa m\u00e1 pou\u017e\u00edvate\u013e poveren\u00fd touto rolou\u201c. Dokument ur\u010duje z\u00e1kladn\u00e9 prvky RBAC \u2013 pou\u017e\u00edvatelia, rel\u00e1cie, roly, opr\u00e1vnenia, oper\u00e1cie a objekty, ako aj vz\u0165ahy a prepojenia medzi nimi.<\/p>\n

V \u0161tandarde je uveden\u00e1 minim\u00e1lne potrebn\u00e1 \u0161trukt\u00fara na vytvorenie modelu rol\u00ed \u2013 sp\u00e1janie pr\u00e1v do rol\u00ed a n\u00e1sledn\u00e9 poskytovanie pr\u00edstupu pou\u017e\u00edvate\u013eom prostredn\u00edctvom t\u00fdchto rol\u00ed. Uveden\u00e9 s\u00fa mechanizmy zostavovania rol\u00ed z objektov a oper\u00e1ci\u00ed, op\u00edsan\u00e1 je hierarchia rol\u00ed a dedenie pr\u00e1vomoc\u00ed. V ka\u017edej spolo\u010dnosti existuj\u00fa role, ktor\u00e9 sp\u00e1jaj\u00fa element\u00e1rne pr\u00e1va, ktor\u00e9 s\u00fa potrebn\u00e9 v\u0161etk\u00fdm zamestnancom. M\u00f4\u017ee \u00eds\u0165 o pr\u00edstup k e-mailu, k SED, k firemn\u00e9mu port\u00e1lu a pod. Tieto pr\u00e1va m\u00f4\u017eu by\u0165 zahrnut\u00e9 do jednej spolo\u010dnej role nazvanej \u201ezamestnanec\u201c, \u010d\u00edm odpad\u00e1 potreba v ka\u017edej z vy\u0161\u0161\u00edch rol\u00ed opakovane vymenov\u00e1va\u0165 v\u0161etky z\u00e1kladn\u00e9 pr\u00e1va. Sta\u010d\u00ed jednoducho uvies\u0165 znak dedenia roly \u201ezamestnanec\u201c.<\/p>\n

\"Vytv\u00e1rame
\n
\nN\u00e1sledne bol \u0161tandard doplnen\u00fd o nov\u00e9 atrib\u00faty pr\u00edstupu s\u00favisiace s neust\u00e1le sa meniacim prostred\u00edm. Pribudla mo\u017enos\u0165 zavedenia statick\u00fdch a dynamick\u00fdch obmedzen\u00ed. Statick\u00e9 obmedzenia znamenaj\u00fa nemo\u017enos\u0165 kombinovania rol\u00ed (ten ist\u00fd vstup a kontrola oper\u00e1ci\u00ed, spomenut\u00e1 vy\u0161\u0161ie). Dynamick\u00e9 obmedzenia m\u00f4\u017eu by\u0165 ur\u010dovan\u00e9 meniacimi sa parametrami, ako s\u00fa \u010das (pracovn\u00e9\/nepr\u00e1covne hodiny alebo dni), umiestnenie (kancel\u00e1ria\/dom) a pod.<\/p>\n

Osobitn\u00fa pozornos\u0165 si zasl\u00fa\u017ei riadenie pr\u00edstupu na z\u00e1klade atrib\u00fatov (ABAC \u2014 Attribute-based access control).<\/b> Pr\u00edstup je zalo\u017een\u00fd na poskytovan\u00ed pr\u00edstupu pomocou pravidiel zdie\u013eania atrib\u00fatov. Tento model sa m\u00f4\u017ee pou\u017e\u00edva\u0165 samostatne, ale \u010dasto akt\u00edvne dopl\u0148uje klasick\u00e9 roly: k ur\u010ditej roli je mo\u017en\u00e9 prida\u0165 atrib\u00faty pou\u017e\u00edvate\u013eov, zdrojov a zariaden\u00ed, ako aj \u010dasu alebo miesta. To umo\u017e\u0148uje pou\u017e\u00edva\u0165 menej rol\u00ed, zav\u00e1dza\u0165 dodato\u010dn\u00e9 obmedzenia a zabezpe\u010di\u0165 minim\u00e1lne potrebn\u00fd pr\u00edstup, \u010d\u00edm sa zvy\u0161uje bezpe\u010dnos\u0165.<\/p>\n

Napr\u00edklad, \u00fa\u010dtovn\u00edkovi m\u00f4\u017ee by\u0165 povolen\u00fd pr\u00edstup k \u00fa\u010dtom, ak pracuje v ur\u010ditom regi\u00f3ne. Potom sa poloha odborn\u00edka porovn\u00e1 s ur\u010denou referen\u010dnou hodnotou. Alebo m\u00f4\u017ee by\u0165 pr\u00edstup k \u00fa\u010dtom povolen\u00fd len v pr\u00edpade, \u017ee sa pou\u017e\u00edvate\u013e prihl\u00e1si z zariadenia, ktor\u00e9 je zap\u00edsan\u00e9 v registri povolen\u00fdch. Dobr\u00e9 doplnenie k rolovej modelu, ale samo sa pou\u017e\u00edva len zriedka kv\u00f4li potrebe vytvori\u0165 mnoho pravidiel a tabuliek opr\u00e1vnen\u00ed alebo obmedzen\u00ed.<\/p>\n

Uvediem pr\u00edklad aplik\u00e1cie ABAC z m\u00f4jho \u201epredch\u00e1dzaj\u00faceho \u017eivota\u201c. V na\u0161ej banke bolo nieko\u013eko pobo\u010diek. Zamestnanci klientsk\u00fdch kancel\u00e1ri\u00ed v t\u00fdchto pobo\u010dk\u00e1ch vykon\u00e1vali absol\u00fatne rovnak\u00e9 oper\u00e1cie, ale mali pracova\u0165 v hlavnom syst\u00e9me iba s \u00fa\u010dtami svojho regi\u00f3nu. Najprv sme za\u010dali vytv\u00e1ra\u0165 samostatn\u00e9 \u00falohy pre ka\u017ed\u00fd regi\u00f3n \u2013 a tak\u00fdch \u00faloh s opakuj\u00facou sa funk\u010dnos\u0165ou, ale s pr\u00edstupom k r\u00f4znym \u00fa\u010dtom bolo naozaj ve\u013emi ve\u013ea! Potom, s vyu\u017eit\u00edm atrib\u00fatu polohy pre pou\u017e\u00edvate\u013ea a jeho prepojen\u00edm s konkr\u00e9tnym rozsahom \u00fa\u010dtov na overenie, sme v\u00fdrazne zn\u00ed\u017eili po\u010det \u00faloh v syst\u00e9me. V d\u00f4sledku toho zostali \u00falohy iba pre jednu pobo\u010dku, ktor\u00e9 sa replikovali na zodpovedaj\u00face poz\u00edcie vo v\u0161etk\u00fdch ostatn\u00fdch \u00fazemn\u00fdch podjednotk\u00e1ch banky.<\/p>\n

A teraz si povedzme o potrebn\u00fdch pr\u00edpravn\u00fdch krokoch, bez ktor\u00fdch jednoducho nie je mo\u017en\u00e9 vybudova\u0165 funguj\u00faci rolov\u00fd model.<\/p>\n

Krok 1. Vytv\u00e1rame funk\u010dn\u00fd model<\/h2>\n

\nZa\u010d\u00edna sa vytvoren\u00edm funk\u010dn\u00e9ho modelu \u2013 dokumentu na vy\u0161\u0161ej \u00farovni, v ktorom je podrobne pop\u00edsan\u00e1 funkcia ka\u017ed\u00e9ho oddelenia a ka\u017edej poz\u00edcie. Zvy\u010dajne sa inform\u00e1cie do neho dost\u00e1vaj\u00fa z r\u00f4znych dokumentov: pracovn\u00fdch n\u00e1vodov a smern\u00edc pre jednotliv\u00e9 oddelenia \u2013 \u00faseky, spr\u00e1vy, oddelenia. Funk\u010dn\u00fd model mus\u00ed by\u0165 schv\u00e1len\u00fd v\u0161etk\u00fdmi zainteresovan\u00fdmi oddeleniami (biznis, intern\u00fd doh\u013ead, bezpe\u010dnos\u0165) a schv\u00e1len\u00fd veden\u00edm spolo\u010dnosti. Na \u010do je tento dokument potrebn\u00fd? Aby sa mohla rolov\u00e1 model odvol\u00e1va\u0165 na\u0148. Napr\u00edklad, ak pl\u00e1nujete vybudova\u0165 rolov\u00fa model na z\u00e1klade u\u017e existuj\u00facich pr\u00e1v zamestnancov \u2013 vyexportovan\u00fdch zo syst\u00e9mu a 'priveden\u00fdch k jedn\u00e9mu \u0161tandardu'. Potom pri schva\u013eovan\u00ed z\u00edskan\u00fdch rol\u00ed s podnikate\u013eom syst\u00e9mu m\u00f4\u017eete odk\u00e1za\u0165 na konkr\u00e9tny \u010dl\u00e1nok funk\u010dn\u00e9ho modelu, na z\u00e1klade ktor\u00e9ho sa do rol\u00ed zahr\u0148uje to alebo on\u00e9 pr\u00e1vo.<\/p>\n

Krok 2. Auditujeme IT syst\u00e9my a pripravujeme pl\u00e1n prioriz\u00e1cie<\/h2>\n

\nV druhom kroku by sa mal uskuto\u010dni\u0165 audit IT syst\u00e9mov, aby sa zistilo, ako je pr\u00edstup do nich organizovan\u00fd. Napr\u00edklad, v mojej finan\u010dnej spolo\u010dnosti fungovalo nieko\u013eko stoviek informa\u010dn\u00fdch syst\u00e9mov. Vo v\u0161etk\u00fdch syst\u00e9moch boli ist\u00e9 z\u00e1klady rolov\u00e9ho riadenia, v\u00e4\u010d\u0161inou v\u0161ak nejak\u00e9 role, ale preva\u017ene na papieri alebo v adres\u00e1ri syst\u00e9mu \u2013 s\u00fa u\u017e d\u00e1vno zastaran\u00e9 a pr\u00edstup sa v nich spr\u00edstup\u0148oval na z\u00e1klade skuto\u010dn\u00fdch po\u017eiadaviek pou\u017e\u00edvate\u013eov. Samozrejme, vybudova\u0165 rolov\u00fa model hne\u010f v nieko\u013ek\u00fdch stovk\u00e1ch syst\u00e9mov je jednoducho nemo\u017en\u00e9, treba s nie\u010d\u00edm za\u010da\u0165. Vykonali sme hlbok\u00fa anal\u00fdzu procesu riadenia pr\u00edstupu, aby sme ur\u010dili \u00farove\u0148 jeho zrelosti. V procese anal\u00fdzy sme vypracovali krit\u00e9ri\u00e1 prioriz\u00e1cie informa\u010dn\u00fdch syst\u00e9mov \u2013 kritickos\u0165, pripravenos\u0165, pl\u00e1ny na odstavenie a pod. S ich pomocou sme vytvorili poradie pre v\u00fdvoj\/aktualiz\u00e1ciu rolov\u00fdch modelov pre tieto syst\u00e9my. N\u00e1sledne sme zapracovali rolov\u00e9 modely do pl\u00e1nu integr\u00e1cie s rie\u0161en\u00edm Identity Management, aby sme automatizovali spr\u00e1vu pr\u00edstupu.<\/p>\n

Ak\u00fdm sp\u00f4sobom sa ur\u010duje kritickos\u0165 syst\u00e9mu? Odpovedzte si na nasleduj\u00face ot\u00e1zky:<\/p>\n