业务驱动型身份和访问治理： 这种新方法为何如此重要

业 务 驱 动 型 身 份 和 访 问 治 理 : 这 种 新 方 法 为 何 如 此 重 要 摘 要 多 年 以 来, 信 息 安 全 和 业 务 线 经 理 已 清 楚 认 识 到, 身 份 和 访 问 治 理 (IAG) 必 须 由 业 务 要 求 驱 动 毕 竟, 业 务 经 理 才 最 了 解 谁 可 以 访 问 哪 些 内 容 本 白 皮 书 将 解 释, 为 什 么 针 对 IAG 采 用 业 务 驱 动 型 方 法 可 以 帮 助 组 织 轻 松 证 明 法 规 遵 从 性, 最 大 限 度 地 降 低 风 险, 并 提 高 业 务 的 生 产 效 率 2014 年 4 月 版 权 所 有 2014 EMC Corporation 保 留 所 有 权 利 EMC 确 信 本 出 版 物 中 的 信 息 在 发 布 之 日 准 确 无 误 本 出 版 物 中 的 信 息 可 随 时 更 改 而 不 另 行 通 知 本 出 版 物 的 内 容 按 原 样 提 供 EMC CORPORATION 对 本 出 版 物 的 内 容 不 提 供 任 何 形 式 的 陈 述 或 担 保, 明 确 拒 绝 对 有 特 定 目 的 的 适 销 性 或 适 用 性 进 行 默 示 担 保 使 用 复 制 或 分 发 本 出 版 物 所 描 述 的 任 何 EMC 软 件 都 要 有 相 应 的 软 件 许 可 证 有 关 EMC 产 品 名 称 的 最 新 清 单, 请 参 见 china.emc.com 上 的 EMC Corporation 商 标 部 件 号 H13070 RSA 白 皮 书

目 录 执 行 摘 要 3 当 前 面 临 的 现 实 : 身 份 管 理 出 现 问 题 3 业 务 环 境 的 重 要 性 3 业 务 驱 动 型 身 份 和 访 问 治 理 要 求 4 业 务 驱 动 型 身 份 和 访 问 治 理 的 阶 段 式 方 法 4 总 结 5

执 行 摘 要 多 年 以 来, 信 息 安 全 和 业 务 线 经 理 已 清 楚 认 识 到, 身 份 和 访 问 治 理 (IAG) 必 须 由 业 务 要 求 驱 动 毕 竟, 业 务 经 理 才 最 了 解 谁 可 以 访 问 哪 些 内 容 然 而, 组 织 的 工 具 和 流 程 却 往 往 不 能 反 映 这 种 业 务 环 境 这 些 系 统 通 常 都 不 能 有 效 地 从 业 务 的 角 度 来 支 持 用 户 的 访 问 权 限 业 务 角 色 和 职 责 另 外, 它 们 通 常 都 不 反 映 精 确 的 权 限, 因 此 也 就 无 法 具 体 确 定 用 户 可 以 在 应 用 程 序 中 执 行 哪 些 操 作 导 致 这 种 状 况 往 往 是 因 为 组 织 尝 试 使 用 以 IT 和 技 术 为 重 点 的 身 份 和 访 问 管 理 (IAM) 工 具 来 解 决 以 业 务 为 重 点 的 治 理 问 题 业 务 环 境 指 的 是 组 织 所 掌 握 的 有 关 其 用 户 用 户 的 工 作 职 责, 以 及 他 们 所 需 要 的 信 息 应 用 程 序 和 权 限 的 所 有 知 识 的 集 合 虽 然 有 些 环 境 信 息 位 于 IT 托 管 系 统 ( 如 目 录 和 HR 应 用 程 序 ) 中, 但 也 有 一 些 环 境 信 息 由 负 责 监 督 用 户 的 经 理, 或 者 是 由 业 务 职 能 部 门 应 用 程 序 或 数 据 的 所 有 者 ( 而 不 是 IT 或 安 全 人 员 ) 掌 握 本 白 皮 书 将 解 释, 为 什 么 当 今 的 身 份 管 理 系 统 无 法 恰 当 反 映 业 务 环 境, 为 什 么 针 对 身 份 和 访 问 治 理 使 用 业 务 驱 动 型 方 法 可 以 在 提 高 安 全 性 的 同 时 降 低 成 本 ; 本 文 还 将 描 述 该 系 统 的 分 步 实 施 方 法 当 前 面 临 的 现 实 : 身 份 管 理 出 现 问 题 现 在 的 组 织 面 临 着 比 以 前 更 加 严 峻 的 安 全 威 胁 和 法 规 挑 战, 另 外 还 有 不 断 膨 胀 的 用 户 群 规 模 急 剧 增 加 的 移 动 设 备, 以 及 数 据 泄 露 可 能 对 股 东 利 益 和 声 誉 造 成 的 潜 在 损 害 但 是, 传 统 的 身 份 和 访 问 治 理 (IAG) 系 统 不 但 跟 不 上 它 们 的 脚 步, 而 且 无 法 主 动 管 理 不 断 变 化 的 风 险 和 威 胁 环 境 传 统 的 IAG 体 系 结 构 分 散 复 杂, 而 且 装 备 不 良, 无 法 跟 上 组 织 中 变 化 ( 从 简 单 的 员 工 调 动 到 重 组 新 法 规 要 求 和 并 购 ) 的 步 伐 另 外, 传 统 的 身 份 系 统 在 部 署 和 运 营 方 面 成 本 一 直 过 高, 因 而 限 制 了 它 们 的 覆 盖 范 围 和 有 效 性 云 计 算 需 要 为 每 个 新 的 云 应 用 程 序 和 云 服 务 提 供 商 新 建 应 用 程 序 思 洛 ( 以 及 更 多 拥 有 访 问 特 权 的 管 理 员 ), 这 增 加 了 复 杂 性 另 外, 它 还 加 快 了 变 化 的 速 度, 因 为 业 务 线 常 常 会 直 接 获 取 新 服 务, 而 不 事 先 通 知 中 央 IT 或 安 全 组 移 动 计 算 和 自 带 设 备 趋 势 创 造 了 更 多 的 身 份 和 访 问 治 理 思 洛, 以 便 满 足 各 个 新 平 台 的 要 求 其 结 果 是, 虽 然 组 织 需 要 更 简 单 更 快 速 更 加 一 致 的 IAG, 但 变 化 的 步 伐 却 使 其 法 规 遵 从 性 和 风 险 状 态 变 得 更 加 不 确 定 依 靠 基 于 思 洛 的 不 完 善 的 被 动 系 统, 组 织 很 难 发 现 并 应 用 各 个 应 用 程 序 或 系 统 组 所 需 的 业 务 环 境, 同 时 缺 少 一 个 中 央 IAG 基 础 架 构 的 问 题 也 更 加 严 重 组 织 需 要 能 够 轻 松 证 明 法 规 遵 从 性, 最 大 限 度 地 降 低 风 险, 并 提 高 业 务 的 生 产 效 率 面 对 所 有 这 些 挑 战, 解 决 问 题 的 关 键 在 于 利 用 一 个 围 绕 业 务 环 境 构 建 的 集 中 式 现 代 身 份 和 访 问 治 理 系 统 业 务 环 境 的 重 要 性 业 务 环 境 常 常 被 人 忽 视, 但 它 却 是 确 保 高 效 的 企 业 级 IAG 的 关 键 要 素 它 之 所 以 常 常 被 人 忽 视, 是 因 为 IAM 和 IAG 通 常 都 是 由 CIO CISO 安 全 副 总 裁 或 安 全 总 监 来 负 责 而 他 们 却 都 没 有 掌 握 高 效 企 业 级 访 问 治 理 所 需 的 业 务 环 境 信 息 这 些 业 务 环 境 信 息 多 数 都 掌 握 在 主 管 人 员 和 其 他 业 务 经 理 手 中, 他 们 了 解 不 同 用 户 的 具 体 职 责 和 所 需 的 访 问 权 限 例 如, 假 定 财 务 部 门 有 五 位 员 工, 每 人 都 使 用 分 析 师 2 级 工 作 代 码 IT 部 门 可 能 会 认 为, 他 们 每 人 都 应 具 有 相 同 的 访 问 权 限 和 授 权 但 是, 他 们 的 主 管 清 楚 谁 负 责 出 差 和 娱 乐 开 支, 谁 负 责 监 视 电 信 和 公 用 事 业 开 支, 因 此 能 够 为 他 们 进 行 更 准 确 的 访 问 和 授 权 决 策 不 同 的 临 床 药 物 试 验 团 队 成 员 可 能 拥 有 相 同 的 职 位 头 衔, 但 根 据 其 资 历 培 训 或 项 目 分 配 情 况 的 不 同, 却 需 要 不 同 的 测 试 数 据 访 问 级 别 另 外, 业 务 应 用 程 序 所 有 者 也 掌 握 了 充 足 的 信 息, 知 道 应 用 程 序 或 数 据 资 源 是 如 何 使 用 的, 以 及 什 么 样 的 访 问 和 授 权 策 略 适 合 他 们 应 用 程 序 所 有 者 和 风 险 审 计 以 及 法 规 遵 从 性 团 队 最 了 解 相 关 的 环 境 信 息, 能 够 针 对 不 同 的 业 务 应 用 程 序 或 行 业 领 域 设 置 具 体 的 IAG 策 略 数 据 资 源 所 有 者 最 清 楚, 谁 应 有 权 访 问 敏 感 的 或 受 监 管 的 数 据 为 了 更 有 效 地 应 用 这 种 环 境 因 素, 组 织 必 须 支 持 业 务 经 理 业 务 应 用 程 序 和 数 据 所 有 者, 以 及 审 计 风 险 和 法 规 遵 从 性 团 队 推 动 与 访 问 有 关 的 策 略 要 求 然 后,IT 团 队 必 须 将 那 些 要 求 转 化 为 运 营 活 动 实 现 这 一 业 务 驱 动 型 身 份 和 访 问 治 理 需 要 新 流 程 和 新 技 术, 并 且 需 要 业 务 和 IT 部 门 通 力 合 作 3

业 务 驱 动 型 身 份 和 访 问 治 理 要 求 要 把 业 务 环 境 纳 入 IAG 流 程,IT 团 队 必 须 把 有 关 应 用 程 序 和 基 础 架 构 授 权 的 晦 涩 术 语 转 变 成 业 务 友 好 型 的 访 问 视 图, 同 时 为 业 务 经 理 提 供 一 种 简 单 而 直 观 的 方 法, 支 持 他 们 在 整 个 身 份 和 访 问 生 命 周 期 内 做 出 明 智 的 IAG 决 策 业 务 驱 动 型 IAG 还 要 求 业 务 线 (LOB) 对 他 们 所 熟 知 的 任 务 拥 有 所 有 权 并 承 担 相 关 责 任 审 计 风 险 和 法 规 遵 从 性 团 队 必 须 能 够 创 建 要 求, 测 量 结 果 并 制 定 控 制 措 施 IT 安 全 和 运 营 团 队 必 须 能 够 洞 察 并 控 制 IAG 活 动 的 执 行 情 况, 因 为 他 们 最 终 将 负 责 执 行 LOB 做 出 的 决 策 组 织 必 须 能 够 轻 松 定 义 利 用 业 务 环 境 的 策 略, 以 确 保 在 职 责 划 分 (SOD) 或 访 问 请 求 和 批 准 等 领 域 的 法 规 遵 从 性 策 略 经 过 实 例 化 后 可 以 自 动 应 用, 并 且 违 规 现 象 也 会 自 动 处 理 由 于 这 些 策 略 的 内 容 对 LOB IT 安 全 和 运 营 审 计 风 险 和 法 规 遵 从 性 团 队 来 说 非 常 熟 悉, 因 此 这 是 一 种 让 他 们 参 与 IAG 流 程 的 行 之 有 效 的 方 法 由 于 到 目 前 为 止, 组 织 单 靠 使 用 传 统 身 份 管 理 供 应 商 提 供 的 以 IT 为 重 点 的 工 具, 很 难 实 现 所 需 的 自 动 化, 因 此 自 动 执 行 访 问 权 限 变 更 可 以 大 幅 降 低 成 本 和 工 作 量 真 正 的 业 务 驱 动 型 IAG 方 法 能 够 提 供 一 个 简 单 的 访 问 权 限 变 更 管 理 机 制, 该 机 制 使 业 务 逻 辑 与 应 用 程 序 特 定 的 集 成 逻 辑 分 隔 开 来 另 外, 它 还 支 持 基 于 策 略 的 访 问 权 限 变 更 - 按 照 既 定 的 策 略, 使 用 规 则 和 工 作 流 程 实 现 更 快 的 访 问 从 变 更 执 行 的 角 度 考 虑, 这 为 部 署 应 用 程 序 提 供 了 一 种 快 速 而 又 经 济 高 效 的 方 法 所 有 这 些 都 需 要 一 个 集 中 式 的 自 动 化 身 份 和 访 问 治 理 平 台, 该 平 台 能 够 为 业 务 所 有 者 提 供 一 个 简 单 的 身 份 和 访 问 权 限 视 图, 能 够 支 持 基 于 策 略 的 自 动 化 访 问 控 制, 能 够 执 行 IAG 变 更 请 求, 同 时 还 能 将 主 动 的 访 问 法 规 遵 从 性 整 合 到 组 织 结 构 中 图 1 展 示 了 这 样 的 平 台 是 如 何 帮 助 组 织 建 立 业 务 流 程 以 完 成 所 有 这 些 活 动 的 业 务 驱 动 型 身 份 和 访 问 治 理 的 阶 段 式 方 法 按 照 提 供 每 阶 段 价 值 的 阶 段 式 分 步 方 法 实 施 离 散 式 可 测 业 务 流 程, 这 样 可 以 实 现 业 务 驱 动 型 IAG 的 最 佳 运 营 状 态 步 骤 包 括 : 可 见 性 和 认 证 : 这 一 可 重 复 可 持 续 的 流 程 自 动 收 集 并 清 理 身 份 和 授 权 数 据, 以 获 得 一 个 关 于 当 前 访 问 权 限 的 规 范 化 统 一 视 图 访 问 权 限 的 这 一 技 术 视 图 将 转 换 成 为 业 务 视 图, 以 便 LOB 经 理 ( 如 资 源 的 主 管 或 业 务 所 有 者 ) 能 够 负 责 审 查 访 问 权 限 这 是 通 过 业 务 用 户 友 好 型 访 问 权 限 认 证 流 程 ( 也 称 为 访 问 权 限 审 查 ) 实 现 的 ; 在 此 流 程 中, 主 管 或 应 用 程 序 所 有 者 审 查 和 批 准 ( 或 调 用 ) 人 员 的 授 权 还 有 一 个 重 要 步 骤, 同 时 也 是 一 个 不 错 的 建 立 业 务 环 境 的 示 例, 就 是 确 定 数 据 资 源 ( 如 文 件 共 享 或 SharePoint 站 点 ) 的 业 务 所 有 者 以 及 任 何 用 于 定 义 其 业 务 用 途 和 风 险 分 类 的 元 数 据 策 略 管 理 : 根 据 一 组 定 义 为 规 则 的 策 略 捕 获 决 策 环 境 信 息 和 业 务 逻 辑, 这 是 一 种 自 动 执 行 安 全 和 法 规 遵 从 性 控 制 的 有 效 方 法 让 规 则 触 发 工 作 流 程, 这 可 以 实 现 流 程 和 策 略 自 动 化, 并 且 降 低 成 本 例 如, 新 员 工 的 身 份 会 触 发 一 个 多 步 骤 的 流 程, 其 中 包 括 为 该 员 工 创 建 帐 户, 为 其 提 供 恰 当 的 组 成 员 身 份, 为 帐 户 分 配 恰 当 的 应 用 程 序 和 数 据 授 权 并 通 过 必 需 的 审 批 4

角 色 管 理 : 角 色 使 业 务 经 理 能 够 更 轻 松 地 管 理 授 权 更 改 以 证 券 交 易 员 2 级 为 例 此 角 色 中 的 用 户 可 能 跨 几 个 应 用 程 序 拥 有 35 个 不 同 的 精 细 授 权 ( 如 能 够 进 行 高 达 一 定 限 额 的 交 易 ) 经 理 不 必 逐 个 审 查 和 评 估 35 个 授 权, 而 只 需 确 认 该 角 色 适 合 此 用 户 即 可 对 于 经 理 来 说, 借 此 方 法 应 用 所 需 的 业 务 环 境 更 加 得 心 应 手, 因 为 他 们 考 虑 的 是 特 定 用 户 所 扮 演 的 角 色, 而 不 是 详 细 的 应 用 程 序 授 权 列 表 另 外, 角 色 还 简 化 了 人 员 入 职 人 员 调 动 和 人 员 离 职 流 程, 使 得 为 用 户 分 配 额 外 访 问 权 限 变 得 更 加 轻 松 除 此 之 外, 它 们 还 使 审 查 验 证 或 测 试 用 户 访 问 权 限 变 得 更 高 效, 因 此 简 化 了 法 规 遵 从 性 和 风 险 管 理 并 提 高 了 执 行 速 度 此 阶 段 还 会 创 建 目 录 组 的 生 命 周 期 管 理 流 程, 这 些 流 程 经 常 用 于 以 与 角 色 差 不 多 的 方 式 治 理 访 问 ( 尤 其 是 针 对 数 据 资 源 的 访 问 ) 组 织 往 往 不 想 深 入 到 创 建 和 管 理 角 色 另 一 个 备 选 方 案 是 使 用 建 议 的 授 权, 让 业 务 经 理 可 以 在 人 员 入 职 或 人 员 调 用 流 程 期 间 了 解 类 似 的 用 户 拥 有 哪 些 授 权 访 问 请 求 管 理 : 一 旦 访 问 权 限 的 业 务 视 图 以 及 用 于 简 化 和 自 动 化 访 问 管 理 的 抽 象 化 过 程 实 施 到 位, 组 织 就 可 以 轻 松 地 为 业 务 用 户 建 立 自 助 式 访 问 请 求 前 端, 同 时 在 后 端 为 IT 团 队 创 建 可 审 计 且 符 合 策 略 要 求 的 变 更 管 理 引 擎 此 流 程 使 LOB 能 够 调 用 访 问 请 求, 而 无 需 了 解 与 提 供 请 求 有 关 的 基 础 架 构 和 详 细 信 息, 从 而 使 访 问 请 求 流 程 变 得 更 加 轻 松 另 外, 通 过 在 授 予 访 问 权 限 之 前 强 制 实 施 策 略, 它 还 可 以 提 供 主 动 的 法 规 遵 从 性 变 更 执 行 ( 调 配 ): 针 对 身 份 和 访 问 权 限 执 行 业 务 驱 动 型 变 更, 将 导 致 对 系 统 数 据 资 源 目 录 应 用 程 序 以 及 访 问 控 制 解 决 方 案 中 的 用 户 帐 户 组 成 员 身 份 和 授 权 分 配 进 行 实 际 的 修 改 变 更 执 行 ( 也 可 称 为 调 配 ) 指 的 是 组 织 在 着 手 此 处 提 及 的 任 何 阶 段 之 前, 通 常 以 某 种 形 式 存 在 的 流 程 难 题 往 往 在 于 演 进 此 流 程, 使 其 保 持 始 终 如 一 策 略 驱 动 位 于 适 当 的 授 权 级 别, 并 且 尽 量 做 到 自 动 化 执 行 访 问 权 限 变 更 有 几 种 机 制 简 单 的 任 务 通 知 ( 如 发 送 给 系 统 管 理 员 的 电 子 邮 件 ) 常 常 是 最 轻 松 也 最 直 接 的 变 更 执 行 方 式 在 服 务 台 创 建 票 证 是 一 种 跟 踪 请 求 响 应 和 确 认 的 更 加 一 致 的 方 式, 并 且 可 以 利 用 现 有 的 企 业 变 更 管 理 系 统 不 过, 相 关 的 时 间 延 迟 成 本 和 错 误 率 常 常 促 使 组 织 走 向 自 动 化 自 动 化 的 执 行 解 决 方 案 可 以 提 高 运 营 效 率 并 进 行 及 时 更 改, 同 时 还 完 美 支 持 快 速 部 署 新 的 应 用 程 序 传 统 的 调 配 引 擎 使 组 织 难 以 部 署 ( 连 接 ) 很 多 应 用 程 序, 因 为 这 些 较 早 的 系 统 将 定 义 治 理 策 略 的 业 务 逻 辑 和 集 成 各 个 应 用 程 序 所 需 的 逻 辑 组 合 在 了 一 起 这 要 求 投 入 大 量 成 本 为 新 一 个 连 接 和 每 一 次 策 略 变 更 自 定 义 编 码 另 外, 传 统 的 调 配 引 擎 还 倾 向 于 以 帐 户 级 别 或 群 组 级 别 调 配 为 重 点, 这 无 法 提 供 所 需 的 可 见 性 或 访 问 要 求 级 别 现 代 的 业 务 驱 动 型 IAG 系 统 在 更 高 的 级 别 维 持 策 略 相 关 的 业 务 逻 辑, 因 此 让 这 次 最 后 一 步 集 成 变 得 更 加 简 单, 成 本 也 更 低 另 外, 现 代 的 业 务 驱 动 型 IAG 系 统 更 注 重 深 入 调 配, 能 够 查 看 并 更 改 应 用 程 序 中 的 精 细 授 权 总 结 组 织 在 身 份 和 访 问 治 理 方 面 现 在 只 能 承 担 必 需 的 开 支 他 们 无 法 承 受 因 为 在 身 份 和 访 问 治 理 方 面 管 理 不 当 而 造 成 的 法 律 法 规 或 知 识 产 权 风 险 最 有 效 最 高 效 的 身 份 和 访 问 治 理 方 法 就 是 让 业 务 流 程 应 用 程 序 和 数 据 的 所 有 者 参 与 进 来 该 方 法 使 用 丰 富 的 业 务 环 境 信 息 ( 哪 些 用 户 需 要 哪 类 访 问 和 授 权 ) 作 为 业 务 驱 动 型 自 动 身 份 和 访 问 治 理 的 基 础, 能 够 以 最 低 的 成 本 实 现 最 大 的 业 务 价 值 5