細粒度授權下的權限合規(guī)

• 缺少統(tǒng)一集中的權限合規(guī)策略，業(yè)務系統(tǒng)在運營過程中，無法有效的進行風險管理和風險監(jiān)督；

• 無法滿足對企業(yè)合規(guī)審計管理要求，導致企業(yè)安全管控要求不達標；

• 業(yè)務安全和合規(guī)安全兩個方面，最小化授權的原則無法充分體現(xiàn)和控制；

• 核心與機密業(yè)務權限過大和失控，數(shù)據(jù)泄露的風險隱患巨大；

• 權限合規(guī)管理制度與流程體現(xiàn)不健全，無法做到 IT 運營的強有力的保障。

建立權限合規(guī)管理服務中心是企業(yè)進行權限合規(guī)檢查、違規(guī)權限排查和合規(guī)審計追溯的技術手段，企業(yè)權限管理中心通過權責互斥矩陣和權限業(yè)務互斥規(guī)則，依據(jù)企業(yè)審計要求和內控制度，幫助用戶分析發(fā)現(xiàn)權限管理中潛在的風險，快速有效的進行權限合規(guī)檢查及風險識別，通過內置可配的合規(guī)模型進行應用權限的管理及日常維護，對例外權限進行補償控制，規(guī)避權限管理風險。

針對用戶進行權限互斥，通常包括角色、業(yè)務和管理互斥，不合格的權限允許但有預警，一旦發(fā)生互斥，其權限不能被授予。

SOD職責分離：基于角色的訪問控制中通過實現(xiàn)不同的職責分離原則來達到不同的安全策略。在RBAC模型中，利用角色沖突實現(xiàn)職責分離，包括靜態(tài)職責分離、動態(tài)職責分離、操作職責分離、歷史職責分離。角色沖突的程度與權限沖突有一定的關系，權限在角色之間共享的程度影響角色沖突的程度，由此可以實現(xiàn)權責分離的合規(guī)互斥和業(yè)務安全狀態(tài)監(jiān)管。

業(yè)務合規(guī)模型：根據(jù)企業(yè)業(yè)務管理特性具備的合理權限與詳細要求，如企業(yè)中的出納和會計需要設置不同的崗位，核心采購崗位與費用中心崗位需要進行嚴格的業(yè)務要求。

• 通過合規(guī)審計能力，快速有效實現(xiàn)權限合規(guī)檢查及風險識別審計；

• 落實符合企業(yè)信息安全合規(guī)要求，實現(xiàn)企業(yè)的風險管控要求與指標；

• 基于合規(guī)要求，建立權限合規(guī)審查與流程機制，形成安全體系架構；

• 通過實現(xiàn)權限合規(guī)深度能力，幫助企業(yè)實現(xiàn)和推動數(shù)字化轉型。