Тема ролевой модели предоставления прав в информационных системах (далее Система) наиболее актуальна при наличии нескольких ключевых аспектов:
- Система внедрена в крупной организации со сложной организационной структурой (далее Организация) и/или матричной системой управления и/или формализованными бизнес-процессами (далее БП) и/или множеством пользователей, права которых требуется разграничить на основе оргструктуры, матрицы управления или БП Организации.
- Система является критической для Организации и к ней предъявляются высокие требования к разграничению прав и безопасности.
- В Системе сложная ролевая модель представления прав с высокой степенью детализации, дублями и множеством не актуальных прав.
- Сложные отношения структурного подразделения информационных технологий с бизнес подразделениями.
Основные тезисы:
- Матричную структуру организации можно воспроизвести в Системе за счёт использования разного типа ролей. Например:
- Базовую официальную оргструктуру Организации можно воспроизвести с помощью ролей пользователей (индивидуальные роли сотрудников и других Систем, взаимодействующих с анализируемой Системой в рамках интеграции с возможностью «замещения») и подразделений (простые групповые роли с руководителями).
- Проектную и функциональную фактическую структуру взаимодействия пользователей между собой и Системой можно реализовать с помощью контекстных ролей (групповые роли со сложными взаимосвязями и определением контекста использования ролей).
- Вертикально и горизонтально агрегировать роли:
- Вертикально агрегировать роли за счёт вложенности ролей подразделений друг в друга, а также предоставление доступа к ним ролей сотрудников.
- Для обеспечения горизонтальной агрегации схожие по функционалу роли в разных СП заменить на контекстные роли, которые будут предоставлять права в контексте подразделений, в которые входит сотрудники.
- Процесс предоставления прав в Системе вынести в отдельный микросервис и интегрировать их с первоисточниками информации о ролевой модели:
- Интегрировать Систему и микросервис предоставления прав в ней с кадровой системой Организации для автоматизации предоставления, изменения и блокировки прав в рамках официальной оргструктуры Организации.
- Интегрировать Систему и микросервис предоставления прав с системой автоматизации БП Организации для обеспечения БП необходимыми ролями и правами в Системе.
- В Системе должен быть предусмотрен механизм лигирования данных о принадлежности пользователя к определённому подразделению или другому типу роли при каждом активном действии пользователя в Системе. Например, это возможно путём создания отдельной таблицы в базе данных (далее БД) Системы с административным интерфейсом в Системе.
- На уровне всей Организации требуется внедрить внутренние регулятивные документы (далее ВРД), устанавливающие регламенты обеспечения существования ролевой модели представления прав в Системе, единые для всей Организации. Данные ВРД должны структурировать и формализовывать процесс предоставления прав, сдерживать Систему от появления микро-ролей и «ролевого взрыва», а также позволять оптимизировать управление рисками Организации, в том числе в области информационной безопасности.
- В каждом структурном подразделении (далее СП) должны быть сотрудники, ответственные за взаимодействие пользователей их СП с Системой (далее Ответственные СП). Эти Ответственные СП должный быть обучены взаимодействию с ИС на достаточно высоком уровне, чтобы:
- Обладать расширенными правами для взаимодействия со всеми объектами своего структурного подразделения внутри Системы, в том числе, разного уровня секретности, например, для служебного пользования (далее ДСП).
- Иметь доступ к аналитике по своему СП внутри Системы.
- Обеспечивать информационную поддержку сотрудников своего СП по взаимодействию с Системой.
- В каждом БП должны быть ответственные сотрудники (далее Ответственные БП), которые должны обладать правами и обязанностями, аналогичными Ответственным СП, но в рамках своих БП.
- Если Организацию и ее пользователей воспринимать, как системы, то их взаимодействие с Системой можно интерпретировать, как взаимодействие любых других систем через их интерфейсы.
Список использованных источников:
- Управление доступом к информационной системе [В Интернете] / авт. Microsegment.ru // Microsegment.ru — Microsegment.ru, июль 2025 г.. — https://microsegment.ru/blog/information/system/granting-rights/managing-access/
- Role-Based Access Control [В Интернете] / авт. David F. Ferraiolo and D. Richard Kuhn // 15th National Computer Conference — National Institute of Standards and Technology Technology Administration, 13-16 октября 1992. — 554
- Role Based Access Control [В Интернете] / авт. csrc.nist.gov // csrc.nist.gov — csrc.nist.gov, 8 мая 2025 г. — июль 2025 г.. — https://csrc.nist.gov/projects/role-based-access-control
- Стандарты ролевого подхода к управлению доступом [В Интернете] / авт. Денис Денисов // cleverics.ru — cleverics.ru, 25 октября 2015 — июль 2025 г.. —https://cleverics.ru/digital/2015/10/incits-rbac-standards/
