以物件導向方式設計RBAC系統之研究─以保險業為例

Abstract

傳統的執行權管制，有自主性執行權管制（Discretionary Access Control，簡稱為DAC）與強制性執行權管制（Mandatory Access Control，簡稱為MAC）兩種方式。由於難以管理或缺乏彈性的缺點，美國國家標準技術局遂將「以職位為基礎的執行權管制（Role-Based Access Control，簡稱為RBAC）」制定為下一代資訊系統中執行權管制的標準。RBAC以「職位」為核心，將被指派執行職位的人視為授權管制的對象，這種授權管理的方式，較貼近現今企業的組織運作模式，在大多數的企業組織中有較高的適用性。因此，我們冀望能直接引進RBAC的觀念，為這個下一代資訊系統中執行權管制的標準做好安全政策之設計，以便能將企業的資訊安全政策落實於實際的資訊系統中。 企業組織的安全政策是管理員工對企業資源使用行為的法則，也是RBAC系統開發的依據。我們的安全政策包含規範員工授權行為的授權政策，另外亦加入了主動政策的觀念，為執行權管制中的職責監督更添自動化。 我們以物件導向的觀念定義出一套符合RBAC理論的安全政策，並以物件導向視覺化塑模（Visual Modeling）的開發方式來表達設計成果，也就是將軟體工程中的系統分析部份利用標準的圖形符號，取代數學符號以視覺化的方式表達出來，這樣可以增加系統開發人員對高階資訊安全政策的了解，以降低資訊安全政策轉換至資訊系統的時間與成本。 本論文最後基於我們所分析的安全政策，提出一個以政策為基礎的RBAC系統設計構想，並將需要良好安全控管機制的保險業作為個案進行設計，以驗證本論文之可行性。在我們的結果中，物件導向的RBAC系統將有助於保險業的安全政策管理，使得本論文可成為保險業實作RBAC系統時之參考。

NIST has announced a new access control standard: Role-Based Access Control (RBAC), which is more applicable in the organizational context than traditional Discretionary Access Control (DAC) and Mandatory Access Control (MAC). Policies that are enforced in access control systems determine the level and sufficiency for the security of internal control over resource management. How to formulate these policies is the key to succeed in developing RBAC systems. In this thesis, the author defines two kinds of security policies--active policies and authorization policies—to enable the definitions of roles’ obligations and rights. In this thesis, the author describes security policies with object-oriented presentations. In this way, the presentation are easier to be communicated to system designers, programmers, and general users. A case study on insurance companies, which are regulated by laws of the Republic of China, is carried out to demonstrate the feasibility of the author’s ideas.