Разделение полномочий

Разделение полномочий

Разделение полномочий (Separation/Segregation of Duties, SoD) — концепция, состоящая в том, что пользователь не может совершить транзакцию без содействия других пользователей.

Например, пользователь в одиночку не может добавить нового поставщика, выписать счёт или заплатить поставщику. Таким образом снижается риск ошибки или мошенничества.

Использование SoD является важным, хотя и недостаточным, условием безопасности системы ERP. Политику SoD можно реализовать, используя механизмы RBAC. Для этого вводится понятие взаимоисключающих ролей.

Например, чтобы заплатить поставщику, один пользователь должен инициировать оплату, а другой подтвердить её. В этом случае инициация оплаты и подтверждение — взаимоисключающие роли. Разделение полномочий может быть статическим или динамическим. При статическом разделении полномочий (Static SOD) пользователь не может принадлежать двум взаимоисключающим ролям. При динамическом разделении полномочий (Dynamic SOD) пользователь может принадлежать двум взаимоисключающим ролям, но не может исполнять их в рамках одной транзакции. Достоинство SSOD — простота, DSOD — большая гибкость.

Обычно разделение полномочий описывается матрицей SoD. По осям X и Y матрицы отложены роли в системе. Если две роли являются взаимоисключающими, то на пересечении соответствующих столбца и строки выставляется флаг.

Пример применения SOD в части функций администрирования пользователей

Безопасное ведение работ по созданию и ведению ролей

Один администратор не может одновременно администрировать пользователей, вести полномочия и генерировать профили полномочий.

Существует два решения по разделению функций:

• принципы двойного контроля: администрирование пользователей, ведение и генерация полномочий;
• принципы тройного контроля: администрирование пользователей, ведение полномочий, генерация профилей полномочий.

Разделение задач ведения пользователей и полномочий между администратором данных полномочий, администратором профилей полномочий и администратором пользователей по функциям (принцип тройного контроля):

1.       Администратор данных полномочий:

·      просмотр пользователей;

·      создание и изменение ролей;

·      изменение состава транзакций и данных полномочий в ролях;

·      просмотр профилей;

·      работа с информационной системой пользователей;

·      не должен иметь полномочий на изменение пользователей и генерирование профилей.

2.       Администратор профилей полномочий:

·      просмотр ролей, их данных и пользователей;

·      генерирование полномочий и профилей полномочий для существующих ролей;

·      работа с информационной системой пользователей;

·      не должен иметь полномочий на изменение пользователей и ролей.

3.       Администратор пользователей:

·      создает и изменяет основные записи пользователей;

·      присваивает пользователей ролям;

·      присваивает профили полномочий пользователям;

·      просматривает полномочия и профили;

·      не имеет полномочий на просмотр и изменение ролей, а также на изменение и генерирование профилей полномочий.

Принцип двойного контроля комбинирует задачи и полномочия администратора данных полномочий и администратора профилей полномочий.