Dieser Abschnitt enthält Richtlinien für den Entwurf von Rollen-Frameworks und Best-Practices-Richtlinien für das Engineering von Qualitätsrollen, die Ihren Zielen hinsichtlich der Zugriffs-Governance und der Übereinstimmung entsprechen.
Bevor Sie mit dem Engineering von Rollen beginnen, sollten Sie sich mit dem Framework für Rollen beschäftigen, das als Basis für die Definition neuer Rollen (abgeleitet oder explizit erstellt) und für die potenzielle Überarbeitung und Neuorganisation vorhandener Rollen dient, die durch Kollektoren globaler Rollen von Novell Compliance Certification Manager aus den Datenquellen Ihres Unternehmens erfasst werden können. Ein Framework sollte aus Ihrer Wahrnehmung davon abgeleitet werden, wie Benutzer und deren Berechtigungen im Unternehmen kategorisiert werden oder werden sollten.
Zu den möglichen Unternehmens-Frameworks gehören:
Zugehörigkeit (Entwicklungsabteilung, Finanzabteilung, Account-Management)
Funktion (CFO, Auftragsbearbeiter, Lohnbuchhaltungsassistent)
Standort (Frankfurt, Gebäude 2, nordöstliche Region).
Ein auf einem Sicherheitsmodell basierendes Framework könnte mehrere Rollen umfassen, die abgestufte Zugriffsebenen auf sensible Daten bieten:
Kundendaten – Alle lesen
Kundendaten – Nur Kontaktinformationen lesen
Unabhängig vom Typ des Frameworks muss dieses mindestens Ihre primären Zugriffs-Governance-Ziele unterstützen, von den Projektbeteiligten, die die davon abgeleiteten Rollen verwalten und zertifizieren werden, als vernünftig empfunden werden sowie ausreichend flexibel und skalierbar sein, um sich an Änderungen im Unternehmen anzupassen.
Damit Rollen Ihre Ziele hinsichtlich der Zugriffs-Governance unterstützen, sollten sie auf den folgenden Best-Practices-Prinzipien für die Rollenverwaltung basieren:
Obwohl es keine praktischen Beschränkungen dafür gibt, wie viele Berechtigungen und Benutzer Sie in einer Rolle vereinigen können, sollte jede Rolle die maximale Anzahl an Berechtigungen und Benutzern abdecken, die unter den Umständen möglich ist, in denen die Rolle verwendet wird. Beispielsweise würde es eine Verletzung des Maximierungsprinzips darstellen, zwei Rollen zu definieren, die beide mehrere Berechtigungen vereinigen, und diese beiden Rollen allen Mitgliedern einer bestimmten Benutzerpopulation zuzuweisen, wenn die Berechtigungen stattdessen auch problemlos unter einer Rolle vereinigt werden könnten, die allen Mitgliedern zugewiesen werden könnte. Unter der Voraussetzung, dass die anderen leitenden Prinzipien der Erteilung nur der mindestens erforderlichen Rechte und der Funktionstrennung eingehalten werden, ist es effizienter, eine Rolle zu definieren, die nur die Berechtigungen bietet, die eine gesamte Benutzerpopulation zur Ausübung der jeweiligen Tätigkeiten benötigt, als zu demselben Zweck zwei Rollen zu definieren.
Das Prinzip der Erteilung nur der mindestens erforderlichen Rechte besagt, dass eine Rolle nur diejenigen Zugriffsrechte bieten soll, die den Benutzern, die der Rolle zugewiesen sind, die Ausübung ihrer Tätigkeiten ermöglicht. Eine Rolle, die Benutzern ermöglicht, eine Transaktion für eine Unternehmensressource auszuführen, für deren Ausführung sie nicht autorisiert sind, stellt eine Verletzung dieses Prinzips dar. Das Engineering von Rollen, die dieses Prinzip durchsetzen, unterstützt die Gewährleistung der Datensicherheit in einem Unternehmen. Wenn Benutzer auf sensible oder erfolgsentscheidende Ressourcen zugreifen können, obwohl ihre Aufgaben dies nicht erfordern, wird die Sicherheit in Frage gestellt. Beispielsweise wird einer Benutzerpopulation eine Rolle mit sechs Berechtigungen zugewiesen, die den legitimen Anforderungen für die Tätigkeiten der Benutzer entsprechen. Die Rolle enthält außerdem eine siebte Berechtigung, die für die Tätigkeiten keines Benutzers erforderlich ist. In diesem Fall verletzt die Rolle das Prinzip der Erteilung nur der mindestens erforderlichen Rechte. Diese irrelevante Berechtigung, die von der Rolle in diesem Beispiel abgedeckt wird, sollte aus der Rolle entfernt und in eine angemessenere Rolle aufgenommen werden, die nur Benutzern zugewiesen wird, die die Berechtigung für ihre Tätigkeiten benötigen.
Das Prinzip der Funktionstrennung besagt, dass eine oder mehrere Rollen nicht Berechtigungen für eine bestimmte Ressource enthalten sollen, die den Benutzern, denen die Rollen zugewiesen werden, das Ausführen aller Transaktionen mit einer Ressource ermöglichen würden. Funktionstrennungsanforderungen gelten in der Regel nur für die Ressourcen, die nach Ansicht eines Unternehmens vor betrügerischen Aktivitäten geschützt werden müssen oder für Ressourcen, die Zugriff auf hochsensible Daten bieten. Eine Funktionstrennungsanforderung würde vermutlich nicht für eine oder zwei Rollen gelten, die den von ihnen abgedeckten Benutzern die Möglichkeit bieten, die Wiki ihrer Geschäftseinheit anzuzeigen und zu bearbeiten.
Eine typische Funktionstrennungsanforderung könnte vorgeben, dass ein einzelner Benutzer keine Rechte zum Anfordern und Autorisieren einer Geldauszahlung besitzen soll. Anders ausgedrückt soll keine Rolle beide Transaktionsrechte enthalten und den Benutzern soll keine Gruppe von Rollen zugewiesen werden, die ihnen das Ausführen beider Transaktionen ermöglichen würde. Sie müssen Ihre Funktionstrennungs- und Übereinstimmungsanforderungen definieren, bevor Sie mit dem Engineering von Rollen beginnen.