{"id":87793,"date":"2020-07-10T13:41:57","date_gmt":"2020-07-10T11:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya"},"modified":"2020-07-10T13:41:57","modified_gmt":"2020-07-10T11:41:57","slug":"stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","title":{"rendered":"Gradimo model upravljanja dostopa. Prvi del, pripravljalni","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>Trenutno delam za podjetje, ki prodaja programsko opremo, zlasti re\u0161itve za upravljanje dostopa. Moje izku\u0161nje iz preteklega dela pa so povezane s strani naro\u010dnika - velike finan\u010dne ustanove. Takrat se na\u0161a skupina za nadzor dostopa v oddelku za informacijsko varnost ni mogla pohvaliti z veliko znanja o IdM. V procesu smo se veliko u\u010dili in do\u017eiveli kar nekaj te\u017eav, da smo v podjetju zgradili funkcionalen mehanizem za upravljanje uporabni\u0161kih pravic v informacijskih sistemih.<br \/>\n<img decoding=\"async\" alt=\"Gradimo model upravljanja dostopa. Prvi del, pripravljalni\" src=\"\/wp-content\/uploads\/2020\/07\/b621e0e72e1e4cddced384e52bad09c9.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\nZdru\u017eil sem svoje izku\u0161nje, pridobljene pri naro\u010dniku, s strokovnim znanjem in kompetencami dobavitelja ter \u017eelim z vami deliti korak za korakom navodila: kako zgraditi v veliki podjetju model upravljanja dostopa na osnovi vlog, in kaj to prina\u0161a. Moja navodila so razdeljena na dva dela: prvi del - priprava na gradnjo modela, drugi del - sama gradnja. Pred vami je prvi del, pripravljalni.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\n<i><b>N.B.<\/b> Gradnja modela vlog ni, \u017eal, rezultat, temve\u010d proces. Natan\u010dneje, to je del procesa ustvarjanja ekosistema upravljanja dostopa v podjetju. Tako da se pripravite na dolgotrajno igro.<br \/>\n<\/i><br \/>\nSprva se opredelimo - kaj torej pomeni upravljanje dostopa na osnovi vlog? Recimo, da imate veliko banko z desetinami, morda celo sto tiso\u010di zaposlenih (subjektov), od katerih vsak ima desetine pravic dostopa v stotine notranje ban\u010dne informacijske sisteme (objekti). Zdaj pomno\u017eite \u0161tevilo objektov s \u0161tevilom subjektov - prav toliko povezav morate najprej vzpostaviti in nato nadzorovati. Je to mogo\u010de narediti ro\u010dno? Seveda ne - za re\u0161itev te naloge so nastale vloge.<\/p>\n<p>Vloga je niz pooblastil, ki jih potrebuje uporabnik ali skupina uporabnikov za opravljanje dolo\u010denih delovnih nalog. Vsak zaposleni lahko ima ena ali ve\u010d vlog, vsaka vloga pa lahko vsebuje od enega do ve\u010d pooblastil, ki so dovoljena uporabniku v okviru te vloge. Vloge so lahko povezane z dolo\u010denimi polo\u017eaji, oddelki ali funkcionalnimi nalogami zaposlenih.<\/p>\n<p><img decoding=\"async\" alt=\"Gradimo model upravljanja dostopa. Prvi del, pripravljalni\" src=\"\/wp-content\/uploads\/2020\/07\/d038f1d15e2e8f577a568cbf1254afbb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nVloge se obi\u010dajno ustvarjajo iz lo\u010denih pooblastil zaposlenih v vsakem informacijskem sistemu. Nato se iz vlog posameznih sistemov oblikujejo globalne poslovne vloge. Na primer, poslovna vloga \u201ekreditni manager\u201c bo vklju\u010devala ve\u010d lo\u010denih vlog v informacijskih sistemih, ki se uporabljajo v strankinem uradu banke. Rekimo, v takih sistemih kot so glavna avtomatizirana ban\u010dna sistema, blagajni\u0161ki modul, sistem elektronskega poslovanja, sistemski manager in drugi. Poslovne vloge so obi\u010dajno vezane na organizacijsko-strukturno zasnovo \u2013 preprosto povedano, na skupek enot podjetja in polo\u017eajev v njih. Tako se oblikuje globalna matrica vlog (primer prina\u0161am v tabeli spodaj).<\/p>\n<p><img decoding=\"async\" alt=\"Gradimo model upravljanja dostopa. Prvi del, pripravljalni\" src=\"\/wp-content\/uploads\/2020\/07\/2f3fad3738b0a299a25a56b0040b9969.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nOmeniti velja, da je nemogo\u010de zgraditi 100% vlogo modela, ki bi zaposlenim na vsaki poziciji v komercialni strukturi zagotovilo vsa potrebna pravice. Pa tudi ni potrebno. Vloga modela ne more biti stati\u010dna, saj je odvisna od nenehno spreminjajo\u010dega se okolja. In od sprememb v poslovanju podjetja, kar ustrezno vpliva na spremembe v organizacijski strukturi in funkcionalnosti. In od pomanjkanja popolne oskrbe z viri, ter od nespo\u0161tovanja delovnih navodil, in od prizadevanj po dobi\u010dku na ra\u010dun varnosti, in od mnogih drugih dejavnikov. Zato je potrebno zgraditi vlogo modela, ki lahko pokrije do 80% potreb uporabnikov po ustreznih osnovnih pravicah ob imenovanju na delovno mesto. Preostalih 20% bodo lahko, \u010de bo potrebno, kasneje zaprosili po posameznih zahtevkih.<\/p>\n<p>Seveda se lahko vpra\u0161ate: \u201eAli sploh ne obstajajo 100% vloge modeli?\u201c No, zakaj ne, to se pojavlja, na primer, v neprofitnih strukturah, ki niso podvr\u017eene pogostim spremembam \u2013 v nekem raziskovalnem in\u0161titutu. Ali v organizacijah voja\u0161ko-industrijskega kompleksa z visokim nivojem za\u0161\u010dite, kjer je varnost na prvem mestu. Ob\u010dasno pa tudi v komercialni strukturi, vendar znotraj posebej izbrane enote, katere delo je dovolj stati\u010dno in predvidljivo.<\/p>\n<p>Glavna prednost vloge upravljanja je poenostavitev dodeljevanja pravic, saj je \u0161tevilo vlog bistveno manj\u0161e od \u0161tevila uporabnikov informacijskega sistema. In to velja za katerokoli panogo.<\/p>\n<p>\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043c, \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u0440\u043e\u0437\u043d\u0438\u0447\u043d\u0430\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u0442\u044b\u0441\u044f\u0447\u0438 \u043f\u0440\u043e\u0434\u0430\u0432\u0446\u043e\u0432. \u0423 \u0432\u0441\u0435\u0445 \u0443 \u043d\u0438\u0445 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043f\u0440\u0430\u0432 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 N, \u0438 \u0434\u043b\u044f \u043d\u0438\u0445 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0432\u0441\u0435\u0433\u043e \u043e\u0434\u043d\u0430 \u0440\u043e\u043b\u044c. \u041a\u043e\u0433\u0434\u0430 \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044e \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u043d\u043e\u0432\u044b\u0439 \u043f\u0440\u043e\u0434\u0430\u0432\u0435\u0446, \u0435\u043c\u0443 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0430\u0437\u043d\u0430\u0447\u0430\u0435\u0442\u0441\u044f \u043d\u0443\u0436\u043d\u0430\u044f \u0440\u043e\u043b\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0433\u0434\u0435 \u0443\u0436\u0435 \u0435\u0441\u0442\u044c \u0432\u0441\u0435 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u043f\u043e\u043b\u043d\u043e\u043c\u043e\u0447\u0438\u044f. \u0412 \u043e\u0434\u0438\u043d \u043a\u043b\u0438\u043a \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 \u0434\u043b\u044f \u0442\u044b\u0441\u044f\u0447 \u043f\u0440\u043e\u0434\u0430\u0432\u0446\u043e\u0432 \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u043d\u043e\u0432\u0443\u044e \u043e\u043f\u0446\u0438\u044e \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043e\u0442\u0447\u0435\u0442\u0430. \u041d\u0435\u0442 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0442\u044b\u0441\u044f\u0447\u0443 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439, \u043f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u044f \u043d\u043e\u0432\u043e\u0435 \u043f\u0440\u0430\u0432\u043e \u043a \u043a\u0430\u0436\u0434\u043e\u0439 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u2014 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u043d\u0435\u0441\u0442\u0438 \u044d\u0442\u0443 \u043e\u043f\u0446\u0438\u044e \u0432 \u0440\u043e\u043b\u044c, \u0438 \u043e\u043d\u0430 \u043f\u043e\u044f\u0432\u0438\u0442\u0441\u044f \u0443 \u0432\u0441\u0435\u0445 \u043f\u0440\u043e\u0434\u0430\u0432\u0446\u043e\u0432 \u0441\u0440\u0430\u0437\u0443.<\/p>\n<p>\u0415\u0449\u0435 \u043e\u0434\u043d\u043e \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u043e \u0440\u043e\u043b\u0435\u0432\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u2014 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0432\u044b\u0434\u0430\u0447\u0438 \u043d\u0435\u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u044b\u0445 \u043f\u043e\u043b\u043d\u043e\u043c\u043e\u0447\u0438\u0439. \u0422\u043e \u0435\u0441\u0442\u044c \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a, \u0438\u043c\u0435\u044e\u0449\u0438\u0439 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u0443\u044e \u0440\u043e\u043b\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0438\u043c\u0435\u0442\u044c \u0434\u0440\u0443\u0433\u0443\u044e \u0440\u043e\u043b\u044c, \u043f\u0440\u0430\u0432\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0441\u043e\u0447\u0435\u0442\u0430\u0442\u044c\u0441\u044f \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043f\u0435\u0440\u0432\u043e\u0439. \u042f\u0440\u043a\u0438\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u2014 \u0437\u0430\u043f\u0440\u0435\u0442 \u043d\u0430 \u0441\u043e\u0432\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0432\u0432\u043e\u0434\u0430 \u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044f \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u043e\u0439 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438.<\/p>\n<p>\u0412\u0441\u0435, \u043a\u043e\u043c\u0443 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e, \u043a\u0430\u043a \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043f\u043e\u044f\u0432\u0438\u043b\u043e\u0441\u044c \u0440\u043e\u043b\u0435\u0432\u043e\u0435 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c, \u043c\u043e\u0433\u0443\u0442<br \/>\n                        <b class=\"spoiler_title\">\u043f\u043e\u0433\u0440\u0443\u0437\u0438\u0442\u044c\u0441\u044f \u0432 \u044d\u043a\u0441\u043a\u0443\u0440\u0441\u0438\u044e \u043f\u043e \u0438\u0441\u0442\u043e\u0440\u0438\u0438<\/b><br \/>\n                        \u0415\u0441\u043b\u0438 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c\u0441\u044f \u043a \u0438\u0441\u0442\u043e\u0440\u0438\u0438, \u0442\u043e \u0432\u043f\u0435\u0440\u0432\u044b\u0435 \u0418\u0422-\u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u043e \u0437\u0430\u0434\u0443\u043c\u0430\u043b\u043e\u0441\u044c \u043e \u043c\u0435\u0442\u043e\u0434\u0430\u0445 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c \u0435\u0449\u0435 \u0432 70-\u0445 \u0433\u043e\u0434\u0430\u0445 XX \u0432\u0435\u043a\u0430. \u0425\u043e\u0442\u044f \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0431\u044b\u043b\u0438 \u0442\u043e\u0433\u0434\u0430 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u044b\u043c\u0438, \u043d\u043e, \u043a\u0430\u043a \u0438 \u0441\u0435\u0439\u0447\u0430\u0441, \u0432\u0441\u0435\u043c \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0443\u0434\u043e\u0431\u043d\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c \u043a \u043d\u0438\u043c. \u041f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u044f\u0442\u044c \u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u0430\u0432\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u2014 \u0447\u0442\u043e\u0431\u044b \u043b\u0435\u0433\u0447\u0435 \u0431\u044b\u043b\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u043a\u0430\u043a\u043e\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u0435\u0441\u0442\u044c \u0443 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0438\u0437 \u043d\u0438\u0445. \u041e\u0434\u043d\u0430\u043a\u043e \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u043e \u043e\u0431\u0449\u0438\u0445 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043e\u0432, \u0440\u0430\u0437\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043b\u0438\u0441\u044c \u043f\u0435\u0440\u0432\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c, \u0438 \u043a\u0430\u0436\u0434\u0430\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043e\u0441\u043d\u043e\u0432\u044b\u0432\u0430\u043b\u0430\u0441\u044c \u043d\u0430 \u0441\u0432\u043e\u0438\u0445 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f\u0445 \u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u0445.<\/p>\n<p>\u0421\u0435\u0439\u0447\u0430\u0441 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e \u043c\u043d\u043e\u0433\u043e \u0440\u0430\u0437\u043d\u044b\u0445 \u043c\u043e\u0434\u0435\u043b\u0435\u0439 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c, \u043d\u043e \u043e\u043d\u0438 \u043d\u0435 \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0441\u0440\u0430\u0437\u0443. \u041e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c\u0441\u044f \u043d\u0430 \u0442\u0435\u0445, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u043d\u0435\u0441\u043b\u0438 \u0437\u0430\u043c\u0435\u0442\u043d\u044b\u0439 \u0432\u043a\u043b\u0430\u0434 \u0432 \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u0435 \u044d\u0442\u043e\u0433\u043e \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f.<\/p>\n<p>\u041f\u0435\u0440\u0432\u0430\u044f \u0438, \u043d\u0430\u0432\u0435\u0440\u043d\u043e\u0435, \u0441\u0430\u043c\u0430\u044f \u043f\u0440\u043e\u0441\u0442\u0430\u044f \u043c\u043e\u0434\u0435\u043b\u044c \u2014 <b>\u0414\u0438\u0441\u043a\u0440\u0435\u0446\u0438\u043e\u043d\u043d\u043e\u0435 (\u0438\u0437\u0431\u0438\u0440\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0435) \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c<\/b> (DAC \u2013 Discretionary access control). Ta model predlaga skupno uporabo pravic vsemi udele\u017eenci v procesu dostopa. Vsak uporabnik dobi dostop do dolo\u010denih predmetov ali operacij. V bistvu se tu veliko subjektov pravic ujema z mnogimi objekti. Ta model je bil prepoznan kot preve\u010d prilagodljiv in preve\u010d zapleten za vzdr\u017eevanje: seznami dostopa z vremenom postanejo ogromni in te\u017eko nadzorovani.<\/p>\n<p>Druga model je <b>Mandatno upravljanje dostopa (MAC \u2014 Mandatory access control)<\/b>. Po tej modelu vsak uporabnik dobi dostop do objekta v skladu s podeljenim dovoljenjem za dolo\u010deno stopnjo zaupnosti podatkov. Objekti morajo biti ustrezno kategorizirani po stopnji zaupnosti. Nasprotno od prve prilagodljive model, je bila ta preve\u010d stroga in omejevalna. Njena uporaba se ne izpla\u010da, kadar ima podjetje mnogo razli\u010dnih informacijskih virov: da bi omejili dostop do razli\u010dnih virov, bo potrebno uvedeti \u0161tevilne kategorije, ki se ne bodo prekrivale.<\/p>\n<p>V lu\u010di o\u010ditne pomanjkljivosti teh dveh metod je IT-skupnost nadaljevala z razvojem modelov, ki so bolj prilagodljivi in hkrati bolj ali manj univerzalni za podporo razli\u010dnim vrstam organizacijskih politik nadzora dostopa. In takrat je nastala <b>tretja model upravljanja dostopa na osnovi vlog!<\/b> Ta pristop se je izkazal za najbolj obetavnega, saj zahteva ne le avtentifikacijo identitete uporabnika, ampak tudi njegove delovne funkcije v sistemih.<\/p>\n<p>Prvo jasno opredeljeno strukturo modela vlog sta predlagala ameri\u0161ka znanstvenika David Ferraiolo in Richard Kuhn iz Nacionalnega in\u0161tituta za standarde in tehnologijo ZDA leta 1992. Takrat se je prvi\u010d pojavil izraz <b>RBAC (Role-based access control). <\/b>Ta raziskava in opisi osnovnih komponent ter njihovih medsebojnih povezav so postavili temelje za standard INCITS 359-2012, ki ga je potrdil Mednarodni odbor za standarde informacijske tehnologije (INCITS).<\/p>\n<p>Standard definira ulogu kao \"radnu funkciju unutar organizacije s odre\u0111enom povezano\u0161\u0107u semantike u vezi s ovlastima i odgovornostima koje su dodijeljene korisniku koji je imenovan u toj ulozi\". Dokument postavlja osnovne elemente RBAC-a \u2013 korisnike, sesije, uloge, dozvole, operacije i objekte, kao i odnose i me\u0111usobne veze izme\u0111u njih.<\/p>\n<p>U standardu je navedena minimalno potrebna struktura za izgradnju modela uloga \u2013 prikupljanje prava u uloge i zatim dodjela pristupa korisnicima putem tih uloga. Definirani su mehanizmi sastavljanja uloga iz objekata i operacija, opisani su hijerarhija uloga i nasljedstvo ovlasti. U svakoj kompaniji postoje uloge koje grupiraju elementarne ovlasti koje su potrebne svim zaposlenicima. To mo\u017ee uklju\u010divati pristup e-po\u0161ti, EDC-u, korporativnom portalu itd. Ove ovlasti mogu se uklju\u010diti u jednu zajedni\u010dku ulogu pod nazivom \"zaposlenik\", \u010dime se izbjegava ponavljanje svih osnovnih prava u svakoj vi\u0161oj ulozi. Dovoljno je jednostavno navesti znak nasljedstva uloge \"zaposlenik\".<\/p>\n<p><img decoding=\"async\" alt=\"Gradimo model upravljanja dostopa. Prvi del, pripravljalni\" src=\"\/wp-content\/uploads\/2020\/07\/41027ca49f0a65541fcbe10660935f10.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nKasnije je standard dopunjen novim atributima pristupa, povezanim s stalno promjenjivim okru\u017eenjem. Uvedene su mogu\u0107nosti postavljanja stati\u010dkih i dinami\u010dkih ograni\u010denja. Statisti\u010dka ograni\u010denja podrazumijevaju nemogu\u0107nost kombiniranja uloga (unaprijed definirano unosa i kontrola operacija, kako je gore spomenuto). Dinami\u010dka ograni\u010denja mogu se odre\u0111ivati promjenjivim parametrima, kao \u0161to su vrijeme (radno\/neradno vrijeme ili dani), lokacija (ured\/dom) itd.<\/p>\n<p>Posebno se treba napomenuti <b>upravljanje pristupom temeljenom na atributima (ABAC \u2013 Attribute-based access control).<\/b> Pristup se temelji na davanju pristupa putem pravila zajedni\u010dkog kori\u0161tenja atributima. Ovaj model mo\u017ee se koristiti samostalno, ali \u010desto aktivno dopunjuje klasi\u010dnu ulogu: odre\u0111enoj ulozi mogu se dodavati atributi korisnika, resursa i ure\u0111aja, kao i vremena ili lokacije. To omogu\u0107uje kori\u0161tenje manje uloga, uvo\u0111enje dodatnih ograni\u010denja i postizanje minimalnog potrebnog pristupa, a posljedi\u010dno pove\u0107ava sigurnost.<\/p>\n<p>Na primjer, ra\u010dunovo\u0111i se mo\u017ee dopustiti pristup ra\u010dunima ako radi u odre\u0111enoj regiji. Tada \u0107e se lokacija stru\u010dnjaka uspore\u0111ivati s odre\u0111enom referentnom vrijedno\u0161\u0107u. Ili se mo\u017ee dopustiti pristup ra\u010dunima samo ako se korisnik prijavi s ure\u0111aja koji je registriran na popisu dopu\u0161tenih. Dobar dodatak u modelu uloga, ali se rijetko koristi samostalno zbog potrebe za izradom mnogih pravila i tablica dopu\u0161tenja ili ograni\u010denja.<\/p>\n<p>Dat \u0107u primjer primjene ABAC-a iz svog 'pro\u0161log \u017eivota'. U na\u0161oj banci bilo je nekoliko filijala. Zaposlenici klijentnih ureda u tim filijalama obavljali su apsolutno iste operacije, ali su u glavnom sustavu mogli raditi samo s ra\u010dunima svoje regije. Isprva smo po\u010deli stvarati zasebne uloge za svaku regiju \u2013 i takvih uloga s ponavljaju\u0107om funkcionalno\u0161\u0107u, ali s pristupom razli\u010ditim ra\u010dunima, bilo je jako puno! Tada smo koriste\u0107i atribut lokacije za korisnika i povezav\u0161i ga s odre\u0111enim rasponom ra\u010duna za provjeru, zna\u010dajno smanjili broj uloga u sustavu. Na kraju su ostale samo uloge za jednu filijalu, koje su se umno\u017eavale za odgovaraju\u0107e pozicije u svim ostalim teritorijalnim jedinicama banke.<\/p>\n<p>A sada razgovarajmo o potrebnim pripremnim koracima bez kojih jednostavno nije mogu\u0107e izgraditi funkcionalan model uloga.<\/p>\n<h2>Korak 1. Stvaramo funkcionalni model<\/h2>\n<p>\nZa\u010deti je treba s pripravo funkcionalnega modela \u2013 dokumenta na vi\u0161ji ravni, v katerem je podrobno opisana funkcionalnost vsakega oddelka in vsakega delovnega mesta. Obi\u010dajno informacije vkljuujejo razli\u010dne dokumente: delovna navodila in predpise za posamezne oddelke \u2013 agencije, oddelke, slu\u017ebe. Funkcionalni model mora biti usklajen z vsemi zainteresiranimi oddelki (poslovanje, notranji nadzor, varnost) in potrjen s strani vodstva podjetja. Zakaj je ta dokument potreben? Da se lahko referen\u010dni model sklicuje na njega. Na primer, nameravate zgraditi referen\u010dni model na podlagi obstoje\u010dih pravic zaposlenih \u2013 izvo\u017eenih iz sistema in \u201epripravljenih na enotno raven\u201c. Takrat se lahko pri usklajevanju dobljenih vlog z poslovnim lastnikom sistema sklicujete na dolo\u010den odstavek funkcionalnega modela, na podlagi katerega se v vlogo vklju\u010duje dolo\u010dena pravica.<\/p>\n<h2>Korak 2. Izvedemo revizijo IT-sistemov in pripravimo na\u010drt prioritetizacije<\/h2>\n<p>\nV drugem koraku je potrebno izvesti revizijo IT-sistemov, da se ugotovi, kako je dostop organiziran. Na primer, v mojem finan\u010dnem podjetju je bilo v uporabi ve\u010d sto informacijskih sistemov. V vseh sistemih so bili nekateri za\u010detki upravljanja vlog, v ve\u010dini \u2013 dolo\u010dene vloge, vendar ve\u010dinoma na papirju ali v sistemskem imeniku \u2013 ti so \u017ee zdavnaj zastareli, dostop pa je bil podeljen na podlagi dejanskih zahtev uporabnikov. Seveda je nemogo\u010de takoj zgraditi referen\u010dni model v ve\u010d sto sistemih, zato je potrebno nekje za\u010deti. Izvedli smo poglobljeno analizo procesa upravljanja dostopa, da bi dolo\u010dili raven njegove zrelosti. V procesu analize smo oblikovali kriterije za prioritetizacijo informacijskih sistemov \u2013 kriti\u010dnost, pripravljenost, na\u010drti za izlo\u010ditev in podobno. Z njihovo pomo\u010djo smo dolo\u010dili vrstni red za razvoj\/aktualizacijo referen\u010dnih modelov za te sisteme. Nato smo vklju\u010dili referen\u010dne modele v na\u010drt integracije s re\u0161itvijo za upravljanje identitet, da bi avtomatizirali upravljanje dostopa.<\/p>\n<p>Torej, kako dolo\u010diti kriti\u010dnost sistema? Odgovorite si na naslednja vpra\u0161anja:<\/p>\n<ul>\n<li>Ali je sistem povezan z operativnimi procesi, od katerih je odvisna osnovna dejavnost podjetja?<\/li>\n<li>Bodo vpliva okvara sistema na celovitost premo\u017eenja podjetja?<\/li>\n<li>Koliko je najve\u010dje dovoljeno trajanje izpada sistema, po katerem ni mogo\u010de obnoviti delovanja po prekinitvi?<\/li>\n<li>Ali lahko kr\u0161itev celovitosti informacij v sistemu privede do nepovratnih posledic, tako finan\u010dnih kot tudi reputacijskih?<\/li>\n<li>Kriti\u010dnost za goljufije. Obsto\u017enost funkcionalnosti, pri katerih pomanjkljiv nadzor omogo\u010da izvajanje notranjih\/zunanjih goljufij;<\/li>\n<li>Kak\u0161ne so zahteve zakonodaje ter notranjih pravil in postopkov za te sisteme? Ali bodo kazni s strani regulatorjev za nespo\u0161tovanje?<\/li>\n<\/ul>\n<p>\nV na\u0161i finan\u010dni dru\u017ebi smo izvedli revizijo na naslednji na\u010din. Uprava je razvila postopek revizije Access Right Review, da bi se spoprijela z obstoje\u010dimi uporabniki in pravicami najprej v tistih informacijskih sistemih, ki so bila na seznamu najprioritetnej\u0161ih. Lastnik tega postopka je bila imenovana varnostna enota. Toda za pridobitev celovite slike o pravicah dostopa v podjetju je bilo potrebno vklju\u010diti tudi oddelke IT in poslovanja v postopek. In tukaj so se za\u010deli spori, nesporazumi in v\u010dasih celo sabota\u017ee: nih\u010de se ne \u017eeli odtrgati od svojih trenutnih nalog in se zapletati v nekatera, na prvi pogled, nerazumljiva opravila.<\/p>\n<p><i><b>N.B.<\/b> Velika podjetja z razvitimi IT-procesi so zagotovo seznanjena s postopkom IT revizije \u2013 IT general controls (ITGC), ki omogo\u010da odkrivanje pomanjkljivosti v IT-procesih in vzpostavitev nadzora, tako da se izbolj\u0161ajo procesi v skladu z najbolj\u0161imi praksami (ITIL, COBIT, IT Governance itd.). Tak\u0161na revizija omogo\u010da IT-ju in poslovanju bolj\u0161e razumevanje drug drugega ter oblikovanje skupne strategije razvoja, analizo tveganj, optimizacijo stro\u0161kov in oblikovanje bolj u\u010dinkovitih pristopov v delu.<br \/>\n<\/i><br \/>\n<img decoding=\"async\" alt=\"Gradimo model upravljanja dostopa. Prvi del, pripravljalni\" src=\"\/wp-content\/uploads\/2020\/07\/9c51501de6543215d52a2952fa00edc4.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEna od usmeritev revizije je dolo\u010ditev parametrov logi\u010dnega in fizi\u010dnega dostopa do informacijskih sistemov. Pridobljeni podatki so postali osnova za nadaljnjo uporabo pri oblikovanju vloge modela. Kot rezultat te revizije smo pridobili register IT sistemov, v katerem so bili dolo\u010deni njihovi tehni\u010dni parametri in opisi. Poleg tega je bil za vsak sistem dolo\u010den lastnik iz poslovnega podro\u010dja, v korist katerega je bil ta sistem uporabljen: prav on je bil odgovoren za poslovne procese, ki jih je ta sistem podpirala. Dolo\u010dili smo tudi vodjo IT slu\u017ebe, odgovornega za tehni\u010dno realizacijo potreb poslovanja v dolo\u010denem IS. Zabele\u017eeni so bili najbolj kriti\u010dni sistemi za podjetje in njihovi tehni\u010dni parametri, roki za uvajanje in umik iz obratovanja itd. Ti parametri so nam zelo pomagali pri pripravi na oblikovanje vloge modela.<\/p>\n<h2>Korak 3 Ustvarimo metodologijo<\/h2>\n<p>\nKlju\u010d do uspeha katerega koli dela je pravilno izbran na\u010din. Zato moramo tudi za oblikovanje vloge modela in izvedbo revizije ustvariti metodologijo, v kateri bomo opisali interakcijo med oddelki, opredelili odgovornosti v predpisih podjetja itd.<br \/>\nNajprej je potrebno raziskati vse obstoje\u010de dokumente, ki dolo\u010dajo postopek dodeljevanja dostopa in pravic. V resnici bi morali biti procesi dokumentirani na ve\u010d ravneh:<\/p>\n<ul>\n<li>splo\u0161ni korporativni zahtevi;<\/li>\n<li>zahteve za podro\u010dja informacijske varnosti (odvisno od smeri delovanja organizacije);<\/li>\n<li>zahteve za tehnolo\u0161ke procese (navodila, dostopne matrice, metodolo\u0161ke smernice, zahteve po konfiguracijah).<\/li>\n<\/ul>\n<p>\nV na\u0161i finan\u010dni dru\u017ebi smo odkrili veliko zastarelih dokumentov \u2013 morali smo jih uskladiti z novimi procesi, ki se uvajajo.<\/p>\n<p>Na ukazanie voditel'stva byla sozdana rabochaya gruppa, v kotoruyu voshli predstaviteli napravleniy bezopasnosti, IT, biznesa i vnutrennego kontrolya. V ukaze byli oboznacheny tsely sozdaniya gruppy, napravlenie deyatel'nosti, srok sushchestvovaniya i otvetstvennye ot kazhdoy storony. Krome togo, my razrabotali metodiku provedeniyu audita i poryadok postroyeniya rolevoy modeli: ikh soglasovali vse otvetstvennye predstaviteli napravleniy i utverdilo rukovodstvo kompanii.<\/p>\n<p>Dokumenty, opisivayushchie poryadok provedeniy rabot, sroki, otvetstvennost' i t.d. \u2013 zalog togo, chto na puti k za\u0432\u0435\u0442noy tsely, kotoraya vnachale ne vsem ochevidna, ni u kogo ne vozniknet voprosov \u00aba dlya chego my eto delayem, a zachem nam eto nuzhno i t.p.\u00bb i ne budet vozmozhnosti \u00absaskochit'\u00bb ili zatormozhit' protsess.<\/p>\n<p><img decoding=\"async\" alt=\"Gradimo model upravljanja dostopa. Prvi del, pripravljalni\" src=\"\/wp-content\/uploads\/2020\/07\/c1a47b58a5f52ceb59ada12ce2d528cd.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2>Shag 4. Fiksiruem parametry suschestvuyushchey modeli upravleniya dostupom<\/h2>\n<p>\nSostavlyaem tak nazivaemyy \u00abpasport sistemy\u00bb v chasti upravleniya dostupom. Po suti, eto opsionik po konkretnoj informatsionnoj sisteme, v kotorom zafiksirovany vse algoritmy upravleniya dostupom k ney. Kompanii, kotorye uzhe vnedrili u sebya resheniya klassa IdM, navernyaka znakomyy s podobnym opsionikom, tak kak imenno s nego nachinaetsya issledovanie sistem.<\/p>\n<p>Chast' parametrov o sisteme i vladeltsev peretekla v opsionik iz reestra IT (sm. shag 2, audit), no dobavilis' i novye:<\/p>\n<ul>\n<li>kak osushchestvlyaetsya upravlenie uchet\u043d\u044b\u043c\u0438 zapisyami (napryamuyu v BD ili cherez programmnye interfeysy);<\/li>\n<li>kak pol'zovateli vypolnyayut vkhod v sistemy (s pomoshch'yu otdel'noy uchetnoj zapisi ili s ispol'zovaniem uchetki AD, LDAP ili dr.);<\/li>\n<li>kakie urovni dostupa k sisteme ispol'zuyutsya (uroven' prilozheniya, sistemnyy urovny, ispol'zovanie sistemoy setevoih faylovykh resursov);<\/li>\n<li>opisanie i parametry <a class=\"wpil_keyword_link\" href=\"https:\/\/prohoster.info\/sl\/server\/\"   title=\"stre\u017enikov\" data-wpil-keyword-link=\"linked\"  data-wpil-monitor-id=\"1509\">stre\u017enikov<\/a>, na kotorikh rabotaet sistema;<\/li>\n<li>kakie operatsii po upravleniyu uchet\u043d\u044b\u043c\u0438 zapisyami podderzhivayutsya (blokirovka, pereimenovanie i t.p.);<\/li>\n<li>po kakim algoritmam ili pravlam formiruetsya identifikator pol'zovatelya sistemy;<\/li>\n<li>po kakomu atributu mozhno ustanovit' svyaz' s zapisi o sotrudnike v kadrovoy sisteme (FIO, tabel'nyy nomer ili dr.);<\/li>\n<li>vse vozmozhnyye atributy uchet\u043d\u043e\u0439 zapisi i pravila ikh zapolneniya;<\/li>\n<li>kakie prava dostupa sushchestvuyut v sisteme (roli, grupy, atomarnye prava i dr., yest' li vlozhennye ili ierarhicheskie prava);<\/li>\n<li>mehanizmi delitve pravic dostopa (po delovnih mestih, oddelkih, funkcionalnosti itd.);<\/li>\n<li>ali sistem vklju\u010duje pravila razmejitve pravic (SOD \u2013 Segregacija dol\u017enosti) in kako ta delujejo;<\/li>\n<li>kako se v sistemu obravnavajo dogodki odsotnosti, prenosa, odpu\u0161\u010danja, posodabljanja podatkov o zaposlenih ipd.<\/li>\n<\/ul>\n<p>\nTa seznam lahko nadaljujemo z dodatno podrobnostjo glede razli\u010dnih parametrov in drugih objektov, ki so vklju\u010deni v proces upravljanja dostopa.<\/p>\n<h2>Korak 5. Ustvarimo poslovno usmerjen opis pooblastil<\/h2>\n<p>\n\u0160e en dokument, ki ga potrebujemo pri oblikovanju vlog, je seznam vseh mo\u017enih pooblastil (pravic), ki jih lahko dodelimo uporabnikom v informacijskem sistemu s podrobnim opisom poslovne funkcije, ki stoji za njimi. Pogosto so pooblastila v sistemu zakodirana z dolo\u010denimi imeni, ki so sestavljena iz \u010drk in \u0161tevilk, in zaposleni v podjetju ne morejo razumeti, kaj skriva za temi simboli. Takrat se obrnejo na IT slu\u017ebo, ki prav tako ne more odgovoriti na vpra\u0161anje, na primer, glede redko uporabljenih pravic. Takrat je potrebno izvesti dodatno testiranje.<\/p>\n<p>Dobro je, \u010de poslovni opis \u017ee obstaja ali pa celo obstaja zdru\u017eitev teh pravic v skupine in vloge. Za nekatere aplikacije je najbolj\u0161a praksa, da se podoben seznam ustvari \u017ee v fazi njihovega razvoja. Vendar se to redko dogaja, zato spet gremo v IT oddelek, da zberemo informacije o vseh mogo\u010dih pravicah in jih opi\u0161emo. Na\u0161 seznam bo na koncu vseboval naslednje:<\/p>\n<ul>\n<li>ime pooblastila, vklju\u010dno z objektom, na katerega se nana\u0161a pravica dostopa;<\/li>\n<li>dejanje, ki je dovoljeno izvajati z objektom (ogled, sprememba itd., mo\u017enost omejitve, na primer, po teritorialnem kriteriju ali po skupini strank);<\/li>\n<li>kodo pooblastila (koda in ime funkcije\/poizvedbe sistema, ki jo lahko izvedemo z uporabo pooblastila);<\/li>\n<li>opis pooblastila (podroben opis dejanj v IS ob uporabi pooblastila in njihovih posledic za proces;<\/li>\n<li>status pooblastila: 'Aktivno' (\u010de je pooblastilo dodeljeno vsaj enemu uporabniku) ali 'Neaktivno' (\u010de pooblastilo ni uporabljeno).<\/li>\n<\/ul>\n<p><\/p>\n<h2>Korak 6. Izvozimo podatke o uporabnikih in pravicah iz sistemov in jih uskladimo s kadrovsko bazo<\/h2>\n<p>\nNa zadnjemu koraku priprave je treba iz informacijskih sistemov pridobiti podatke o vseh uporabnikih in pravicah, ki jih trenutno imajo. Tukaj sta mo\u017ena dva scenarija. Prvi: enota za varnost ima neposreden dostop do sistema in sredstva za pridobitev ustreznih poro\u010dil, kar se redko zgodi, a je zelo priro\u010dno. Drugi: po\u0161ljemo zahtevo IT-ju za pridobitev poro\u010dil v zahtevanem formatu. Praksa dokazuje, da se s IT-jem te\u017eko dogovorimo in dobimo potrebne podatke \u017ee pri prvem poskusu. Potrebno je ve\u010dkrat pristopiti, dokler informacije ne bomo dobili v \u017eeleni obliki in formatu.<\/p>\n<p>Katere podatke je treba pridobiti:<\/p>\n<ul>\n<li>Ime uporabni\u0161kega ra\u010duna<\/li>\n<li>Ime in priimek zaposlenega, ki je povezan z njim<\/li>\n<li>Status (aktiven ali blokiran)<\/li>\n<li>Datum ustvarjanja uporabni\u0161kega ra\u010duna<\/li>\n<li>Datum zadnje uporabe<\/li>\n<li>Seznam razpolo\u017eljivih pravic\/skupin\/rol<\/li>\n<\/ul>\n<p>\nTorej, pridobili smo podatke iz sistema z vsemi uporabniki in vsemi pravicami, ki so jim dodeljene. Takoj smo odlo\u017eili vse blokirane ra\u010dune, saj se bo delo na oblikovanju vlog izvedlo le za aktivne uporabnike.<\/p>\n<p>Nato, \u010de v va\u0161i dru\u017ebi ni avtomatiziranih sredstev za zapiranje dostopa odpu\u0161\u010denim zaposlenim (to se pogosto zgodi) ali pa obstaja kosmate avtomatizacije, ki ne deluje vedno pravilno, je treba ugotoviti vse 'mrtve du\u0161e'. Govorimo o uporabni\u0161kih ra\u010dunih \u017ee odpravljenih zaposlenih, katerih pravice iz kakr\u0161negakoli razloga niso blokirane, \u2013 te je treba blokirati. Za to se podatki iz izpisa uskladijo z kadrovskim virom. Kadrovski izpis je prav tako treba najprej pridobiti od enote, ki vodi kadrovsko bazo.<\/p>\n<p>Lo\u010dene moramo odlo\u017eiti ra\u010dune, katerih lastniki niso bili najdeni v kadrovski bazi, ki niso dodeljeni nikomur \u2013 torej brez lastnika. Ta seznam bo potreboval datum zadnje uporabe: \u010de je precej sve\u017e, bomo vseeno morali poiskati lastnike. Sem lahko spadajo ra\u010duni zunanjih izvajalcev ali slu\u017ebene ra\u010dune, ki niso dodeljeni nikomur, a so povezani z nekaterimi procesi. Za ugotovitev pripadnosti ra\u010dunov lahko po\u0161ljemo vsem oddelkom e-po\u0161to s pro\u0161njo, da se oglasijo. Ko najdemo lastnike, vnesemo njihove podatke v sistem: na ta na\u010din so vsi aktivni ra\u010duni prepoznani, ostale pa blokiramo.<\/p>\n<p>Ko so na\u0161i izvozi o\u010di\u0161\u010deni od odve\u010dnih zapisov in so ostali samo aktivni ra\u010duni, lahko za\u010dnemo z oblikovanjem vlog modela za specifi\u010dni informacijski sistem. O tem pa bom govorila v naslednjem \u010dlanku.<\/p>\n<p><b>Avtor: Ljudmila Sevastjanova, vodja promocije Solar inRights<\/b><br \/>\n<br \/>Izvor: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/solarsecurity\/blog\/509998\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0421\u0435\u0439\u0447\u0430\u0441 \u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438-\u0432\u0435\u043d\u0434\u043e\u0440\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0410 \u043c\u043e\u0439 \u043e\u043f\u044b\u0442 \u00ab\u0438\u0437 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0436\u0438\u0437\u043d\u0438\u00bb \u0441\u0432\u044f\u0437\u0430\u043d \u0441\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043e\u0439 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u2013 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0435\u0439. \u0422\u043e\u0433\u0434\u0430 \u043d\u0430\u0448\u0430 \u0433\u0440\u0443\u043f\u043f\u0430 \u043f\u043e \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0432 \u0418\u0411-\u0434\u0435\u043f\u0430\u0440\u0442\u0430\u043c\u0435\u043d\u0442\u0435 \u043d\u0435 \u043c\u043e\u0433\u043b\u0430 \u043f\u043e\u0445\u0432\u0430\u0441\u0442\u0430\u0442\u044c\u0441\u044f \u0431\u043e\u043b\u044c\u0448\u0438\u043c\u0438 \u043a\u043e\u043c\u043f\u0435\u0442\u0435\u043d\u0446\u0438\u044f\u043c\u0438 \u0432 IdM. \u041c\u044b \u043c\u043d\u043e\u0433\u043e\u043c\u0443 \u043e\u0431\u0443\u0447\u0430\u043b\u0438\u0441\u044c \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435, \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u043d\u0430\u0431\u0438\u0442\u044c \u043a\u0443\u0447\u0443 \u0448\u0438\u0448\u0435\u043a, \u0447\u0442\u043e\u0431\u044b \u0432\u044b\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":87794,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-87793","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.5 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u0421\u0435\u0439\u0447\u0430\u0441 \u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438-\u0432\u0435\u043d\u0434\u043e\u0440\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0410 \u043c\u043e\u0439 \u043e\u043f\u044b\u0442 \u00ab\u0438\u0437 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0436\u0438\u0437\u043d\u0438\u00bb \u0441\u0432\u044f\u0437\u0430\u043d \u0441\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043e\u0439 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u2013 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0435\u0439.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.5\" \/>\n\t\t<meta property=\"og:locale\" content=\"sl_SI\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0421\u0442\u0440\u043e\u0438\u043c \u0440\u043e\u043b\u0435\u0432\u0443\u044e \u043c\u043e\u0434\u0435\u043b\u044c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f, \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u0421\u0435\u0439\u0447\u0430\u0441 \u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438-\u0432\u0435\u043d\u0434\u043e\u0440\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0410 \u043c\u043e\u0439 \u043e\u043f\u044b\u0442 \u00ab\u0438\u0437 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0436\u0438\u0437\u043d\u0438\u00bb \u0441\u0432\u044f\u0437\u0430\u043d \u0441\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043e\u0439 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u2013 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0435\u0439.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-07-10T11:41:57+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-07-10T11:41:57+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Gradimo model upravljanja dostopa. Prvi del, pripravljalni | ProHoster","description":"Zdaj delam v podjetju, ki je dobavitelj programske opreme, zlasti re\u0161itev za upravljanje dostopa. Moje izku\u0161nje 'iz prej\u0161njega \u017eivljenja' pa so povezane s stranjo naro\u010dnika \u2013 veliko finan\u010dno organizacijo.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u0442\u0440\u043e\u0438\u043c \u0440\u043e\u043b\u0435\u0432\u0443\u044e \u043c\u043e\u0434\u0435\u043b\u044c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f, \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f | ProHoster","og:description":"\u0421\u0435\u0439\u0447\u0430\u0441 \u044f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438-\u0432\u0435\u043d\u0434\u043e\u0440\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u043e\u043c. \u0410 \u043c\u043e\u0439 \u043e\u043f\u044b\u0442 \u00ab\u0438\u0437 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0436\u0438\u0437\u043d\u0438\u00bb \u0441\u0432\u044f\u0437\u0430\u043d \u0441\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043e\u0439 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u2013 \u043a\u0440\u0443\u043f\u043d\u043e\u0439 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0435\u0439.","og:url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-07-10T11:41:57+00:00","article:modified_time":"2020-07-10T11:41:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"87793","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 13:44:05","updated":"2026-02-09 16:50:33","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/87793","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=87793"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/87793\/revisions"}],"predecessor-version":[{"id":158753,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/87793\/revisions\/158753"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media\/87794"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=87793"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=87793"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=87793"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}