论文部分内容阅读
[收稿日期]2009-01-18
[基金项目] 重庆市自然科学基金资助(CSTC,2008BB2320)。
[作者简介]叶春晓(1973-),重庆大学副教授,博士,主要研究方向:访问控制,电子商务,数据库。
[摘 要]财务信息的安全性显得极其重要,包含多个不同的方面。本文就其中的授权管理进行了分析,特别是授权管理中最重要的两个方面:角色设置和继承管理,授权约束(主要是静态约束)进行了详细的分析。本文首先进行了理论分析,然后以一个实际的财务系统为例说明其具体实现。
[关键词]财务信息系统;授权;角色;约束
doi:10.3969/j.issn.1673-0194.2009.17.019
[中图分类号]F275;F232[文献标识码]A[文章编号]1673-0194(2009)17-0050-03
1 引 言
随着科学技术的不断发展,在各类信息系统中,用户可访问的数据资源的结构日益复杂,用户规模日益增大,各类信息系统都面临着对数据资源进行有效安全管理的难题。如何存储信息系统中的大量数据资源,合理控制众多用户对数据资源的访问权限,建立功能完善的用户管理、授权及认证体系,对于保证系统数据的安全性有着重要的意义。
财务信息是企事业单位最重要的经济信息,它连续、系统、全面、综合地反映和监督企业经营状况,并为管理、经营决策提供重要依据。财务信息系统以计算机为主要工具,对各种会计数据进行收集、记录、存储、处理与输出,并完成对财务信息的分析,向使用者提供所需财务信息,辅助他们管理、预测和决策,提高企业管理水平与经济效益。
为保证财务信息系统的数据安全,可采用多种安全措施,如数据加密、身份认证、权限管理、数据备份、安全审计等。不同的安全措施针对会计数据和信息管理过程的不同方面。其中,权限管理用来决定和控制财务信息系统中各个用户在该系统中具有何种操作权限,能够执行何种操作。权限管理中的授权管理是日常会计工作的相关管理规章制度在计算机中的直接体现,是保证整个权限管理能够正常运行和满足实际工作需要的基础。
2 授权管理
21 RBAC模型
在财务信息系统建设过程中,授权管理可通过RBAC模型完成。RBAC(Role Base Access Control)授权模型的基本思想是通过分配和取消角色来完成用户权限的授予和取消,根据不同的职能岗位来划分角色,资源访问许可被封装在角色中,用户通过赋予的角色间接地访问系统资源和对系统资源进行的操作。授权者根据需要定义各类角色,并设置合适的访问权限,而部门或用户根据其工作性质和职责再被指派为不同的角色,完成权限操作。这样整个访问控制过程就分成两个部分,即访问权限与角色的关联,角色再与部门或用户关联,从而实现了部门或用户与访问权限的逻辑分离。美国国家标准与技术研究院定义标准 RBAC 模型由 4 个子模型组成,分别是基本模型RBAC 0(Core RBAC)、角色分级模型RBAC 1 (Hierarchal RBAC)、角色限制模型RBAC 2(Constraint RBAC)和统一模型RBAC 3(Combines RBAC)。
现实工作中的职责划分,在财务信息系统的授权管理中可体现为角色划分和一系列的角色-权限授权(PRA)和用户-角色授权(URA)完成。
22 角色划分
RBAC模型中的角色划分主要是根据用户实际工作环境和权限管理需求,结合授权管理的具体实现方式实现的。不同的RBAC子模型在授权管理和实现的难度和复杂性上不同。根据财务信息系统的实际情况,当用户数量较少,用户间的层次结构不复杂和明显的时候可采用RBAC 0模型。例如,小单位的财务信息系统用户可能只有很少的几个角色,如出纳、会计、单位主管。而当用户数量较多,用户间的层次结构较为复杂的情况下,可采用RBAC 1模型。该模型支持角色之间的继承关系,可减轻PRA和URA过程的复杂性,并能够很好地描述现实工作环境的职责划分。如大中型企业中,财务信息系统的用户可以是出纳、会计、财务经理、财务总监、单位主管等。不同职位的用户其权限不同,相互间形成了层次关系。
因而,在RBAC模型中进行角色划分时,一种重要的方法是参考财务信息系统所面向的实际工作环境中职位的设置,同时需要考虑用户的工作内容和性质。理想情况下,某个具体的职位其工作内容和性质,即其拥有的权限是明确和单一的。但是,实际工作中,一个职位可能具有多个不同内容和性质的工作,如财务经理可能兼管信息系统。在进行角色划分时,应当根据RBAC的要求将不同内容和性质的工作划分到不同的角色中去。另一方面,由于现实环境中职位之间本身是有层次继承关系的,如财务总监具有财务经理的所有权限。RBAC 1模型支持角色之间的层次继承关系,可采用该模型种的角色继承关系描述职位之间的层次关系和一人多职的情况。
23 授权约束
授权约束通常可看作是一些规则,用来表明用户能够访问资源的条件。RBAC 2中通过各种约束来体现授权管理策略。该策略实际上体现了实际工作中的管理规章制度。约束主要体现在对用户-角色授权以及用户激活角色的限制上。前者体现为静态约束,主要包括URA过程的授权先决条件、角色基数限制、静态责权分离(SOD)、角色互斥、权限互斥等。后者体现为动态约束,包括激活角色数目限制、动态责权分离(DOD)。由于在财务信息系统中,授权管理主要是一个静态过程,因而此处只重点考虑静态约束。
231 授权先决条件
授权先决条件主要是只当进行用户-角色授权时,用户在被授予某个角色时应当满足的先决条件。这和现实环境中对某个职位的人所具有的任职条件和资格要求,如财务经理需要担任过会计,在授权管理中就可以将财务经理的授权先决条件设置为“必须担任过会计”。在RBAC 2模型中可通过角色来指明。当然,该先决条件只能对用户目前所拥有的角色进行约束,还无法表述更为复杂的任职条件和资格要求,如“担任会计3年以上”。可进一步改进。
232 角色基数
角色基数表明一个角色所能够授予的用户数量限制。在现实工作中,某些角色只能授予一个用户,如财务总监只能是一个人,该角色的基数就是1。而有些角色可以授予多个用户,如财务部门可能有多个会计和出纳,则这两个角色的基数就大于1。设置角色基数避免了权限的扩散,使得重要权限只能由受限的人获得。
233 静态责权分离
可解决角色系统中潜在的利益冲突,避免用户超出其当前职位合理的权限等级。简单地说,就是避免两个角色间的冲突,如会计和出纳,一般来说公司是不允许同一个人兼任的,所以在分配角色的时候,应禁止将这两种角色赋予同一个人。该约束可利用角色互斥实现。
234 权限互斥
在角色-权限授权时,避免将互斥的两个和多个权限授权到同一个角色中。如财务部门中,差旅费的审批与报销权限互斥,不能赋予同一个角色。
静态责权分离和权限互斥主要是满足财务工作中的不相容职务需求,如授权进行某项经济业务和执行该项业务的职务要分离,要求有权决定或审批材料采购的人员不能同时兼任采购员职务;执行某些经济业务和审核这些经济业务的职务要分离,要求填写销货发票的人员不能兼任审核人员。
3 实 例
本节以一个公司财务信息系统为例说明如何利用RBAC实现授权管理。将在角色继承和授权约束方面进行说明:
31 角色继承
图1给出了财务信息系统中角色之间的继承关系。
其中,“|”表示前后角色之间为或关系,角色基数为1表示该角色只能赋予一个用户,而角色基数为n表示可赋予超过一人。
表1中的授权先决条件表明该角色授予某用户时必须要求用户具备先决条件所制定的角色。而静态责权分离则表示该列所列出的角色和该行所对应的角色不能授予同一人。如BC、CC和MC就不能同时授予一个用户。
权限互斥没有详细列出,此处以CA为例说明:CA不能同时具有“费用审核”和“费用报销”权限,因而可在授权约束中表示为“费用审核|费用报销”,即两个权限只选其一。
在实际实现时,一个角色相关的授权约束可表示为:(授权先决条件,角色基数,静态责权分离,权限互斥)这样一个4元组。如CA的授权约束可表示为:(FE,n,BC|CC,费用审核|费用报销)。
4 结 语
本文就财务信息系统中的授权管理进行了研究,主要就财务信息系统中的角色设置和授权约束进行了分析,并用一个实际系统进行了说明。分析结果表明:虽然大多数情况下财务信息系统中的角色设置可与实际工作职位相对应,但从角色管理的角度来说,角色和职位之间不能一一对应。考虑到角色继承关系,可将公有权限赋予一个虚拟角色,以便角色之间的相互继承。通常的财务信息系统只考虑了部分授权约束,本文考虑了财务系统中的主要授权约束,更加符合实际工作需要。本文主要考虑了授权管理中的静态约束,下一步的工作将主要考虑动态约束。
主要参考文献
[1]王华.会计软件应用中系统管理员岗位的设置与分析[J].煤炭技术,2003(4).
[2]冯永荣.会计电算化工作中的系统管理员[J].山西煤炭管理干部学院学报,2002(2).
[3]张有峰.系统管理员的角色定位与职权配置[J].财会月刊:综合版,2006(19).
[4]裴海桥,陈国旗. 基于Web的高校财务管理信息系统报表的设计与实现[J]. 计算机与现代化,2008(6).
[5]曹天杰,张永平.管理信息系统中基于角色的访问控制[J].计算机应用,2001(8).
[基金项目] 重庆市自然科学基金资助(CSTC,2008BB2320)。
[作者简介]叶春晓(1973-),重庆大学副教授,博士,主要研究方向:访问控制,电子商务,数据库。
[摘 要]财务信息的安全性显得极其重要,包含多个不同的方面。本文就其中的授权管理进行了分析,特别是授权管理中最重要的两个方面:角色设置和继承管理,授权约束(主要是静态约束)进行了详细的分析。本文首先进行了理论分析,然后以一个实际的财务系统为例说明其具体实现。
[关键词]财务信息系统;授权;角色;约束
doi:10.3969/j.issn.1673-0194.2009.17.019
[中图分类号]F275;F232[文献标识码]A[文章编号]1673-0194(2009)17-0050-03
1 引 言
随着科学技术的不断发展,在各类信息系统中,用户可访问的数据资源的结构日益复杂,用户规模日益增大,各类信息系统都面临着对数据资源进行有效安全管理的难题。如何存储信息系统中的大量数据资源,合理控制众多用户对数据资源的访问权限,建立功能完善的用户管理、授权及认证体系,对于保证系统数据的安全性有着重要的意义。
财务信息是企事业单位最重要的经济信息,它连续、系统、全面、综合地反映和监督企业经营状况,并为管理、经营决策提供重要依据。财务信息系统以计算机为主要工具,对各种会计数据进行收集、记录、存储、处理与输出,并完成对财务信息的分析,向使用者提供所需财务信息,辅助他们管理、预测和决策,提高企业管理水平与经济效益。
为保证财务信息系统的数据安全,可采用多种安全措施,如数据加密、身份认证、权限管理、数据备份、安全审计等。不同的安全措施针对会计数据和信息管理过程的不同方面。其中,权限管理用来决定和控制财务信息系统中各个用户在该系统中具有何种操作权限,能够执行何种操作。权限管理中的授权管理是日常会计工作的相关管理规章制度在计算机中的直接体现,是保证整个权限管理能够正常运行和满足实际工作需要的基础。
2 授权管理
21 RBAC模型
在财务信息系统建设过程中,授权管理可通过RBAC模型完成。RBAC(Role Base Access Control)授权模型的基本思想是通过分配和取消角色来完成用户权限的授予和取消,根据不同的职能岗位来划分角色,资源访问许可被封装在角色中,用户通过赋予的角色间接地访问系统资源和对系统资源进行的操作。授权者根据需要定义各类角色,并设置合适的访问权限,而部门或用户根据其工作性质和职责再被指派为不同的角色,完成权限操作。这样整个访问控制过程就分成两个部分,即访问权限与角色的关联,角色再与部门或用户关联,从而实现了部门或用户与访问权限的逻辑分离。美国国家标准与技术研究院定义标准 RBAC 模型由 4 个子模型组成,分别是基本模型RBAC 0(Core RBAC)、角色分级模型RBAC 1 (Hierarchal RBAC)、角色限制模型RBAC 2(Constraint RBAC)和统一模型RBAC 3(Combines RBAC)。
现实工作中的职责划分,在财务信息系统的授权管理中可体现为角色划分和一系列的角色-权限授权(PRA)和用户-角色授权(URA)完成。
22 角色划分
RBAC模型中的角色划分主要是根据用户实际工作环境和权限管理需求,结合授权管理的具体实现方式实现的。不同的RBAC子模型在授权管理和实现的难度和复杂性上不同。根据财务信息系统的实际情况,当用户数量较少,用户间的层次结构不复杂和明显的时候可采用RBAC 0模型。例如,小单位的财务信息系统用户可能只有很少的几个角色,如出纳、会计、单位主管。而当用户数量较多,用户间的层次结构较为复杂的情况下,可采用RBAC 1模型。该模型支持角色之间的继承关系,可减轻PRA和URA过程的复杂性,并能够很好地描述现实工作环境的职责划分。如大中型企业中,财务信息系统的用户可以是出纳、会计、财务经理、财务总监、单位主管等。不同职位的用户其权限不同,相互间形成了层次关系。
因而,在RBAC模型中进行角色划分时,一种重要的方法是参考财务信息系统所面向的实际工作环境中职位的设置,同时需要考虑用户的工作内容和性质。理想情况下,某个具体的职位其工作内容和性质,即其拥有的权限是明确和单一的。但是,实际工作中,一个职位可能具有多个不同内容和性质的工作,如财务经理可能兼管信息系统。在进行角色划分时,应当根据RBAC的要求将不同内容和性质的工作划分到不同的角色中去。另一方面,由于现实环境中职位之间本身是有层次继承关系的,如财务总监具有财务经理的所有权限。RBAC 1模型支持角色之间的层次继承关系,可采用该模型种的角色继承关系描述职位之间的层次关系和一人多职的情况。
23 授权约束
授权约束通常可看作是一些规则,用来表明用户能够访问资源的条件。RBAC 2中通过各种约束来体现授权管理策略。该策略实际上体现了实际工作中的管理规章制度。约束主要体现在对用户-角色授权以及用户激活角色的限制上。前者体现为静态约束,主要包括URA过程的授权先决条件、角色基数限制、静态责权分离(SOD)、角色互斥、权限互斥等。后者体现为动态约束,包括激活角色数目限制、动态责权分离(DOD)。由于在财务信息系统中,授权管理主要是一个静态过程,因而此处只重点考虑静态约束。
231 授权先决条件
授权先决条件主要是只当进行用户-角色授权时,用户在被授予某个角色时应当满足的先决条件。这和现实环境中对某个职位的人所具有的任职条件和资格要求,如财务经理需要担任过会计,在授权管理中就可以将财务经理的授权先决条件设置为“必须担任过会计”。在RBAC 2模型中可通过角色来指明。当然,该先决条件只能对用户目前所拥有的角色进行约束,还无法表述更为复杂的任职条件和资格要求,如“担任会计3年以上”。可进一步改进。
232 角色基数
角色基数表明一个角色所能够授予的用户数量限制。在现实工作中,某些角色只能授予一个用户,如财务总监只能是一个人,该角色的基数就是1。而有些角色可以授予多个用户,如财务部门可能有多个会计和出纳,则这两个角色的基数就大于1。设置角色基数避免了权限的扩散,使得重要权限只能由受限的人获得。
233 静态责权分离
可解决角色系统中潜在的利益冲突,避免用户超出其当前职位合理的权限等级。简单地说,就是避免两个角色间的冲突,如会计和出纳,一般来说公司是不允许同一个人兼任的,所以在分配角色的时候,应禁止将这两种角色赋予同一个人。该约束可利用角色互斥实现。
234 权限互斥
在角色-权限授权时,避免将互斥的两个和多个权限授权到同一个角色中。如财务部门中,差旅费的审批与报销权限互斥,不能赋予同一个角色。
静态责权分离和权限互斥主要是满足财务工作中的不相容职务需求,如授权进行某项经济业务和执行该项业务的职务要分离,要求有权决定或审批材料采购的人员不能同时兼任采购员职务;执行某些经济业务和审核这些经济业务的职务要分离,要求填写销货发票的人员不能兼任审核人员。
3 实 例
本节以一个公司财务信息系统为例说明如何利用RBAC实现授权管理。将在角色继承和授权约束方面进行说明:
31 角色继承
图1给出了财务信息系统中角色之间的继承关系。
其中,“|”表示前后角色之间为或关系,角色基数为1表示该角色只能赋予一个用户,而角色基数为n表示可赋予超过一人。
表1中的授权先决条件表明该角色授予某用户时必须要求用户具备先决条件所制定的角色。而静态责权分离则表示该列所列出的角色和该行所对应的角色不能授予同一人。如BC、CC和MC就不能同时授予一个用户。
权限互斥没有详细列出,此处以CA为例说明:CA不能同时具有“费用审核”和“费用报销”权限,因而可在授权约束中表示为“费用审核|费用报销”,即两个权限只选其一。
在实际实现时,一个角色相关的授权约束可表示为:(授权先决条件,角色基数,静态责权分离,权限互斥)这样一个4元组。如CA的授权约束可表示为:(FE,n,BC|CC,费用审核|费用报销)。
4 结 语
本文就财务信息系统中的授权管理进行了研究,主要就财务信息系统中的角色设置和授权约束进行了分析,并用一个实际系统进行了说明。分析结果表明:虽然大多数情况下财务信息系统中的角色设置可与实际工作职位相对应,但从角色管理的角度来说,角色和职位之间不能一一对应。考虑到角色继承关系,可将公有权限赋予一个虚拟角色,以便角色之间的相互继承。通常的财务信息系统只考虑了部分授权约束,本文考虑了财务系统中的主要授权约束,更加符合实际工作需要。本文主要考虑了授权管理中的静态约束,下一步的工作将主要考虑动态约束。
主要参考文献
[1]王华.会计软件应用中系统管理员岗位的设置与分析[J].煤炭技术,2003(4).
[2]冯永荣.会计电算化工作中的系统管理员[J].山西煤炭管理干部学院学报,2002(2).
[3]张有峰.系统管理员的角色定位与职权配置[J].财会月刊:综合版,2006(19).
[4]裴海桥,陈国旗. 基于Web的高校财务管理信息系统报表的设计与实现[J]. 计算机与现代化,2008(6).
[5]曹天杰,张永平.管理信息系统中基于角色的访问控制[J].计算机应用,2001(8).