細粒度授權(quán)下的權(quán)限合規(guī)

• 缺少統(tǒng)一集中的權(quán)限合規(guī)策略，業(yè)務(wù)系統(tǒng)在運營過程中，無法有效的進行風險管理和風險監(jiān)督；

• 無法滿足對企業(yè)合規(guī)審計管理要求，導(dǎo)致企業(yè)安全管控要求不達標；

• 業(yè)務(wù)安全和合規(guī)安全兩個方面，最小化授權(quán)的原則無法充分體現(xiàn)和控制；

• 核心與機密業(yè)務(wù)權(quán)限過大和失控，數(shù)據(jù)泄露的風險隱患巨大；

• 權(quán)限合規(guī)管理制度與流程體現(xiàn)不健全，無法做到 IT 運營的強有力的保障。

建立權(quán)限合規(guī)管理服務(wù)中心是企業(yè)進行權(quán)限合規(guī)檢查、違規(guī)權(quán)限排查和合規(guī)審計追溯的技術(shù)手段，企業(yè)權(quán)限管理中心通過權(quán)責互斥矩陣和權(quán)限業(yè)務(wù)互斥規(guī)則，依據(jù)企業(yè)審計要求和內(nèi)控制度，幫助用戶分析發(fā)現(xiàn)權(quán)限管理中潛在的風險，快速有效的進行權(quán)限合規(guī)檢查及風險識別，通過內(nèi)置可配的合規(guī)模型進行應(yīng)用權(quán)限的管理及日常維護，對例外權(quán)限進行補償控制，規(guī)避權(quán)限管理風險。

針對用戶進行權(quán)限互斥，通常包括角色、業(yè)務(wù)和管理互斥，不合格的權(quán)限允許但有預(yù)警，一旦發(fā)生互斥，其權(quán)限不能被授予。

SOD職責分離：基于角色的訪問控制中通過實現(xiàn)不同的職責分離原則來達到不同的安全策略。在RBAC模型中，利用角色沖突實現(xiàn)職責分離，包括靜態(tài)職責分離、動態(tài)職責分離、操作職責分離、歷史職責分離。角色沖突的程度與權(quán)限沖突有一定的關(guān)系，權(quán)限在角色之間共享的程度影響角色沖突的程度，由此可以實現(xiàn)權(quán)責分離的合規(guī)互斥和業(yè)務(wù)安全狀態(tài)監(jiān)管。

業(yè)務(wù)合規(guī)模型：根據(jù)企業(yè)業(yè)務(wù)管理特性具備的合理權(quán)限與詳細要求，如企業(yè)中的出納和會計需要設(shè)置不同的崗位，核心采購崗位與費用中心崗位需要進行嚴格的業(yè)務(wù)要求。

• 通過合規(guī)審計能力，快速有效實現(xiàn)權(quán)限合規(guī)檢查及風險識別審計；

• 落實符合企業(yè)信息安全合規(guī)要求，實現(xiàn)企業(yè)的風險管控要求與指標；

• 基于合規(guī)要求，建立權(quán)限合規(guī)審查與流程機制，形成安全體系架構(gòu)；

• 通過實現(xiàn)權(quán)限合規(guī)深度能力，幫助企業(yè)實現(xiàn)和推動數(shù)字化轉(zhuǎn)型。