Настройка конфиденциальности и безопасности

В Docsvision действует три модели безопасности, регулирующие возможность получения доступа к объектам, две из которых также управляют возможностью совершения операции с объектами:

Мандатное управление доступом

Базовая модель безопасности Docsvision, которая позволяет ограничить доступ к объектам с помощью меток конфиденциальности, устанавливаемых на объекты, и предоставляемых субъектам допусков.

Контроль доступа пользователей к ресурсам основывается на двух правилах:

  1. Субъект имеет право читать только те документы, уровень безопасности которых ниже или равен уровню субъекта.

  2. Субъект имеет право заносить информацию только в документы, уровень безопасности которых ниже или равен уровню субъекта.

    Такая система запрещает пользователю или процессу, обладающему определённым уровнем допуска, получать доступ к информации, процессам или устройствам более защищённого уровня.

    Пример использования указанных условий и ограничений демонстрируется на следующем рисунке.

    Пример использования уровней доступа для разрешения/запрещения работы с документом
    Рисунок 1. Пример использования уровней доступа для разрешения/запрещения работы с документом

    Мандатная безопасность полностью управляется администратором безопасности: пользователь не может полностью управлять доступом к ресурсам, которые он создаёт. Пользователю не разрешается устанавливать более свободный доступ, чем тот, который установлен администратором безопасности для него самого.

    Подробнее о настройке мандатной безопасности см. Настройка мандатной безопасности.

Дискреционное управление доступом

Реализует правила доступа к объектам Docsvision на основе списков управления доступом, в которых указаны права субъектов на базовые операции с объектом: чтение, изменение и т. д.

Такая система запрещает пользователю получать доступ к объекту или к операции с объектом, если данный доступ не предоставлен пользователю или не наследуется.

По умолчанию всем пользователям Docsvision предоставляются полные права на объекты. Также полный доступ получает владелец объекта — по умолчанию пользователь, создавший объект.

Подробнее о настройке дискреционной безопасности см. Настройка дискреционной безопасности.

Ролевое управление доступом

Реализует правила доступа к карточкам Docsvision на основе матрицы доступа, в которой ролям пользователей сопоставлены разрешения на выполнение операций с карточкой.

Такая система запрещает пользователю выполнять операцию с карточкой, если разрешение не установлено в матрице доступа.

Подробнее о настройке ролевой безопасности см. Настройка ролевой безопасности.

Алгоритм проверки безопасности

При работе с объектом доступ на выполнение операции (включая возможности чтения объекта) проверяется по указанным моделям безопасности в следующем порядке:

  1. Мандатная.

  2. Дискреционная.

  3. Ролевая.

Если по какой-либо модели безопасности операция запрещена, по оставшимся проверка не производится — считается, что доступ запрещён. Следствием проверки прав доступа по всем моделям безопасности может стать следующая ситуация: пользователь, имеющий самые высокие права на документ по мандатной модели, но не включённый в группу Операторы архива дискреционной модели, не сможет заархивировать данный документ, т. к. для выполнения операции архивирования пользователь должен быть членом указанной группы безопасности.