RSS

澳门葡京博彩娱乐平台

在企业网络安全管理中,为员工提供完成其本职工作所需要的信息访问权限、避免未经授权的人改变公司的关键文档、平衡访问速度与安全控制三方面分别有以下三大原则。

  原则一:最小权限原则

  最小权限原则要求我们在企业网络安全管理中,为员工仅仅提供完成其本职工作所需要的信息访问权限,而不提供其他额外的权限。

  如企业现在有一个文件服务器系统,为了安全的考虑,我们财务部门的文件会做一些特殊的权限控制。财务部门会设置两个文件夹,其中一个文件夹用来放置一些可以公开的文件,如空白的报销凭证等等,方便其他员工填写费用报销凭证。还有一个文件放置一些机密文件,只有企业高层管理人员才能查看,如企业的现金流量表等等。此时我们在设置权限的时候,就要根据最小权限的原则,对于普通员工与高层管理人员进行发开设置,若是普通员工的话,则其职能对其可以访问的文件夹进行查询,对于其没有访问权限的文件夹,则服务器要拒绝其访问。

  最小权限原则除了在这个访问权限上反映外,最常见的还有读写上面的控制。如上面这个财务部门有两个文件夹A与B。作为普通员工,A文件夹属于机密级,其当然不能访问。但是,最为放置报销凭证格式的文件夹B,我们设置普通员工可以访问。可是,这个访问的权限是什么呢?也就是说,普通员工对于这个文件夹下的文件具有哪些访问权限?删除、修改、抑或只有只读?若这个报销凭证只是一个格式,公司内部的一个通用的报销格式,那么,除了财务设计表格格式的人除外,其他员工对于这个文件夹下的我文件,没有删除、修改的权限,而只有只读的权限。可见,根据最小权限的原则,我们不仅要定义某个用户对于特定的信息是否具有访问权限,而且,还要定义这个访问权限的级别,是只读、修改、还是完全控制?

  不过在实际管理中,有不少人会为了方便管理,就忽视这个原则。

[时间:2010-08-14]
相关文章