財(cái)務(wù)信息系統(tǒng)中的授權(quán)管理研究

王曉敏　葉春曉

[收稿日期]2009-01-18

[基金項(xiàng)目] 重慶市自然科學(xué)基金資助(CSTC,2008BB2320)。

[作者簡(jiǎn)介]葉春曉(1973-),重慶大學(xué)副教授,博士,主要研究方向:訪問控制,電子商務(wù),數(shù)據(jù)庫。

[摘 要]財(cái)務(wù)信息的安全性顯得極其重要,包含多個(gè)不同的方面。本文就其中的授權(quán)管理進(jìn)行了分析,特別是授權(quán)管理中最重要的兩個(gè)方面:角色設(shè)置和繼承管理,授權(quán)約束(主要是靜態(tài)約束)進(jìn)行了詳細(xì)的分析。本文首先進(jìn)行了理論分析,然后以一個(gè)實(shí)際的財(cái)務(wù)系統(tǒng)為例說明其具體實(shí)現(xiàn)。

[關(guān)鍵詞]財(cái)務(wù)信息系統(tǒng);授權(quán);角色;約束

doi:10.3969/j.issn.1673-0194.2009.17.019

[中圖分類號(hào)]F275;F232[文獻(xiàn)標(biāo)識(shí)碼]A[文章編號(hào)]1673-0194(2009)17-0050-03

1 引 言

隨著科學(xué)技術(shù)的不斷發(fā)展,在各類信息系統(tǒng)中,用戶可訪問的數(shù)據(jù)資源的結(jié)構(gòu)日益復(fù)雜,用戶規(guī)模日益增大,各類信息系統(tǒng)都面臨著對(duì)數(shù)據(jù)資源進(jìn)行有效安全管理的難題。如何存儲(chǔ)信息系統(tǒng)中的大量數(shù)據(jù)資源,合理控制眾多用戶對(duì)數(shù)據(jù)資源的訪問權(quán)限,建立功能完善的用戶管理、授權(quán)及認(rèn)證體系,對(duì)于保證系統(tǒng)數(shù)據(jù)的安全性有著重要的意義。

財(cái)務(wù)信息是企事業(yè)單位最重要的經(jīng)濟(jì)信息,它連續(xù)、系統(tǒng)、全面、綜合地反映和監(jiān)督企業(yè)經(jīng)營(yíng)狀況,并為管理、經(jīng)營(yíng)決策提供重要依據(jù)。財(cái)務(wù)信息系統(tǒng)以計(jì)算機(jī)為主要工具,對(duì)各種會(huì)計(jì)數(shù)據(jù)進(jìn)行收集、記錄、存儲(chǔ)、處理與輸出,并完成對(duì)財(cái)務(wù)信息的分析,向使用者提供所需財(cái)務(wù)信息,輔助他們管理、預(yù)測(cè)和決策,提高企業(yè)管理水平與經(jīng)濟(jì)效益。

為保證財(cái)務(wù)信息系統(tǒng)的數(shù)據(jù)安全,可采用多種安全措施,如數(shù)據(jù)加密、身份認(rèn)證、權(quán)限管理、數(shù)據(jù)備份、安全審計(jì)等。不同的安全措施針對(duì)會(huì)計(jì)數(shù)據(jù)和信息管理過程的不同方面。其中,權(quán)限管理用來決定和控制財(cái)務(wù)信息系統(tǒng)中各個(gè)用戶在該系統(tǒng)中具有何種操作權(quán)限,能夠執(zhí)行何種操作。權(quán)限管理中的授權(quán)管理是日常會(huì)計(jì)工作的相關(guān)管理規(guī)章制度在計(jì)算機(jī)中的直接體現(xiàn),是保證整個(gè)權(quán)限管理能夠正常運(yùn)行和滿足實(shí)際工作需要的基礎(chǔ)。

2 授權(quán)管理

21 RBAC模型

在財(cái)務(wù)信息系統(tǒng)建設(shè)過程中,授權(quán)管理可通過RBAC模型完成。RBAC(Role Base Access Control)授權(quán)模型的基本思想是通過分配和取消角色來完成用戶權(quán)限的授予和取消,根據(jù)不同的職能崗位來劃分角色,資源訪問許可被封裝在角色中,用戶通過賦予的角色間接地訪問系統(tǒng)資源和對(duì)系統(tǒng)資源進(jìn)行的操作。授權(quán)者根據(jù)需要定義各類角色,并設(shè)置合適的訪問權(quán)限,而部門或用戶根據(jù)其工作性質(zhì)和職責(zé)再被指派為不同的角色,完成權(quán)限操作。這樣整個(gè)訪問控制過程就分成兩個(gè)部分,即訪問權(quán)限與角色的關(guān)聯(lián),角色再與部門或用戶關(guān)聯(lián),從而實(shí)現(xiàn)了部門或用戶與訪問權(quán)限的邏輯分離。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院定義標(biāo)準(zhǔn) RBAC 模型由 4 個(gè)子模型組成,分別是基本模型RBAC 0(Core RBAC)、角色分級(jí)模型RBAC 1 (Hierarchal RBAC)、角色限制模型RBAC 2(Constraint RBAC)和統(tǒng)一模型RBAC 3(Combines RBAC)。

現(xiàn)實(shí)工作中的職責(zé)劃分,在財(cái)務(wù)信息系統(tǒng)的授權(quán)管理中可體現(xiàn)為角色劃分和一系列的角色-權(quán)限授權(quán)(PRA)和用戶-角色授權(quán)(URA)完成。

22 角色劃分

RBAC模型中的角色劃分主要是根據(jù)用戶實(shí)際工作環(huán)境和權(quán)限管理需求,結(jié)合授權(quán)管理的具體實(shí)現(xiàn)方式實(shí)現(xiàn)的。不同的RBAC子模型在授權(quán)管理和實(shí)現(xiàn)的難度和復(fù)雜性上不同。根據(jù)財(cái)務(wù)信息系統(tǒng)的實(shí)際情況,當(dāng)用戶數(shù)量較少,用戶間的層次結(jié)構(gòu)不復(fù)雜和明顯的時(shí)候可采用RBAC 0模型。例如,小單位的財(cái)務(wù)信息系統(tǒng)用戶可能只有很少的幾個(gè)角色,如出納、會(huì)計(jì)、單位主管。而當(dāng)用戶數(shù)量較多,用戶間的層次結(jié)構(gòu)較為復(fù)雜的情況下,可采用RBAC 1模型。該模型支持角色之間的繼承關(guān)系,可減輕PRA和URA過程的復(fù)雜性,并能夠很好地描述現(xiàn)實(shí)工作環(huán)境的職責(zé)劃分。如大中型企業(yè)中,財(cái)務(wù)信息系統(tǒng)的用戶可以是出納、會(huì)計(jì)、財(cái)務(wù)經(jīng)理、財(cái)務(wù)總監(jiān)、單位主管等。不同職位的用戶其權(quán)限不同,相互間形成了層次關(guān)系。

因而,在RBAC模型中進(jìn)行角色劃分時(shí),一種重要的方法是參考財(cái)務(wù)信息系統(tǒng)所面向的實(shí)際工作環(huán)境中職位的設(shè)置,同時(shí)需要考慮用戶的工作內(nèi)容和性質(zhì)。理想情況下,某個(gè)具體的職位其工作內(nèi)容和性質(zhì),即其擁有的權(quán)限是明確和單一的。但是,實(shí)際工作中,一個(gè)職位可能具有多個(gè)不同內(nèi)容和性質(zhì)的工作,如財(cái)務(wù)經(jīng)理可能兼管信息系統(tǒng)。在進(jìn)行角色劃分時(shí),應(yīng)當(dāng)根據(jù)RBAC的要求將不同內(nèi)容和性質(zhì)的工作劃分到不同的角色中去。另一方面,由于現(xiàn)實(shí)環(huán)境中職位之間本身是有層次繼承關(guān)系的,如財(cái)務(wù)總監(jiān)具有財(cái)務(wù)經(jīng)理的所有權(quán)限。RBAC 1模型支持角色之間的層次繼承關(guān)系,可采用該模型種的角色繼承關(guān)系描述職位之間的層次關(guān)系和一人多職的情況。

23 授權(quán)約束

授權(quán)約束通常可看作是一些規(guī)則,用來表明用戶能夠訪問資源的條件。RBAC 2中通過各種約束來體現(xiàn)授權(quán)管理策略。該策略實(shí)際上體現(xiàn)了實(shí)際工作中的管理規(guī)章制度。約束主要體現(xiàn)在對(duì)用戶-角色授權(quán)以及用戶激活角色的限制上。前者體現(xiàn)為靜態(tài)約束,主要包括URA過程的授權(quán)先決條件、角色基數(shù)限制、靜態(tài)責(zé)權(quán)分離(SOD)、角色互斥、權(quán)限互斥等。后者體現(xiàn)為動(dòng)態(tài)約束,包括激活角色數(shù)目限制、動(dòng)態(tài)責(zé)權(quán)分離(DOD)。由于在財(cái)務(wù)信息系統(tǒng)中,授權(quán)管理主要是一個(gè)靜態(tài)過程,因而此處只重點(diǎn)考慮靜態(tài)約束。

231 授權(quán)先決條件

授權(quán)先決條件主要是只當(dāng)進(jìn)行用戶-角色授權(quán)時(shí),用戶在被授予某個(gè)角色時(shí)應(yīng)當(dāng)滿足的先決條件。這和現(xiàn)實(shí)環(huán)境中對(duì)某個(gè)職位的人所具有的任職條件和資格要求,如財(cái)務(wù)經(jīng)理需要擔(dān)任過會(huì)計(jì),在授權(quán)管理中就可以將財(cái)務(wù)經(jīng)理的授權(quán)先決條件設(shè)置為“必須擔(dān)任過會(huì)計(jì)”。在RBAC 2模型中可通過角色來指明。當(dāng)然,該先決條件只能對(duì)用戶目前所擁有的角色進(jìn)行約束,還無法表述更為復(fù)雜的任職條件和資格要求,如“擔(dān)任會(huì)計(jì)3年以上”?？蛇M(jìn)一步改進(jìn)。

232 角色基數(shù)

角色基數(shù)表明一個(gè)角色所能夠授予的用戶數(shù)量限制。在現(xiàn)實(shí)工作中,某些角色只能授予一個(gè)用戶,如財(cái)務(wù)總監(jiān)只能是一個(gè)人,該角色的基數(shù)就是1。而有些角色可以授予多個(gè)用戶,如財(cái)務(wù)部門可能有多個(gè)會(huì)計(jì)和出納,則這兩個(gè)角色的基數(shù)就大于1。設(shè)置角色基數(shù)避免了權(quán)限的擴(kuò)散,使得重要權(quán)限只能由受限的人獲得。

233 靜態(tài)責(zé)權(quán)分離

可解決角色系統(tǒng)中潛在的利益沖突,避免用戶超出其當(dāng)前職位合理的權(quán)限等級(jí)。簡(jiǎn)單地說,就是避免兩個(gè)角色間的沖突,如會(huì)計(jì)和出納,一般來說公司是不允許同一個(gè)人兼任的,所以在分配角色的時(shí)候,應(yīng)禁止將這兩種角色賦予同一個(gè)人。該約束可利用角色互斥實(shí)現(xiàn)。

234 權(quán)限互斥

在角色-權(quán)限授權(quán)時(shí),避免將互斥的兩個(gè)和多個(gè)權(quán)限授權(quán)到同一個(gè)角色中。如財(cái)務(wù)部門中,差旅費(fèi)的審批與報(bào)銷權(quán)限互斥,不能賦予同一個(gè)角色。

靜態(tài)責(zé)權(quán)分離和權(quán)限互斥主要是滿足財(cái)務(wù)工作中的不相容職務(wù)需求,如授權(quán)進(jìn)行某項(xiàng)經(jīng)濟(jì)業(yè)務(wù)和執(zhí)行該項(xiàng)業(yè)務(wù)的職務(wù)要分離,要求有權(quán)決定或?qū)徟牧喜少彽娜藛T不能同時(shí)兼任采購員職務(wù);執(zhí)行某些經(jīng)濟(jì)業(yè)務(wù)和審核這些經(jīng)濟(jì)業(yè)務(wù)的職務(wù)要分離,要求填寫銷貨發(fā)票的人員不能兼任審核人員。

3 實(shí) 例

本節(jié)以一個(gè)公司財(cái)務(wù)信息系統(tǒng)為例說明如何利用RBAC實(shí)現(xiàn)授權(quán)管理。將在角色繼承和授權(quán)約束方面進(jìn)行說明:

31 角色繼承

圖1給出了財(cái)務(wù)信息系統(tǒng)中角色之間的繼承關(guān)系。

在圖1中,各個(gè)圓圈代表一個(gè)角色,與現(xiàn)實(shí)工作的職位上下級(jí)關(guān)系類似,不同角色按照其上下位置關(guān)系構(gòu)成了繼承關(guān)系,即上級(jí)角色繼承下級(jí)角色的所有權(quán)限。但實(shí)際工作環(huán)境中,并非下級(jí)角色所有權(quán)限都被上級(jí)角色所繼承,這是由于財(cái)務(wù)系統(tǒng)與其他信息系統(tǒng)不同。因而此處引入兩個(gè)概念:私有權(quán)限和公有權(quán)限。所謂私有權(quán)限,是指該權(quán)限為該角色所獨(dú)有,其上級(jí)角色不能繼承該權(quán)限;相應(yīng)的公有權(quán)限是指其上級(jí)角色可以繼承的權(quán)限。引入這兩個(gè)概念的目的是考慮到實(shí)際工作的如下情況:比如成本會(huì)計(jì)具有記賬權(quán)限,但該權(quán)限就不能為會(huì)計(jì)主管所有;而成本會(huì)計(jì)的賬務(wù)查詢權(quán)限就可以為會(huì)計(jì)主管所有。因而記賬權(quán)限就是成本會(huì)計(jì)角色的私有權(quán)限,而查詢權(quán)限就是其公有權(quán)限。

信息系統(tǒng)設(shè)置了一個(gè)最基本的角色“財(cái)務(wù)人員”,該角色具有最基本的權(quán)限。而其上的多個(gè)會(huì)計(jì)和出納角色均繼承了該角色,擁有該角色的所有權(quán)限。在此基礎(chǔ)上,各個(gè)不同的角色具有各自不同的權(quán)限。如:“成本會(huì)計(jì)”具有“成本記賬”的私有權(quán)限和“查詢成本賬務(wù)”公有權(quán)限;“費(fèi)用會(huì)計(jì)”具有“費(fèi)用記賬”的私有權(quán)限和“查詢費(fèi)用賬務(wù)”公有權(quán)限;而現(xiàn)金出納具有“現(xiàn)金日記登記”私有權(quán)限和“查詢現(xiàn)金日記”公有權(quán)限等。

“會(huì)計(jì)主管”和“出納主管”分別作為會(huì)計(jì)和出納的上級(jí)角色,分別繼承了其下各個(gè)會(huì)計(jì)和出納的公有權(quán)限。其上的“財(cái)務(wù)經(jīng)理”和“總會(huì)計(jì)師”類似形成了繼承關(guān)系。

32 授權(quán)約束

表1從3個(gè)方面說明了授權(quán)約束:

其中,“|”表示前后角色之間為或關(guān)系,角色基數(shù)為1表示該角色只能賦予一個(gè)用戶,而角色基數(shù)為玭表示可賦予超過一人。

表1中的授權(quán)先決條件表明該角色授予某用戶時(shí)必須要求用戶具備先決條件所制定的角色。而靜態(tài)責(zé)權(quán)分離則表示該列所列出的角色和該行所對(duì)應(yīng)的角色不能授予同一人。如BC、CC和MC就不能同時(shí)授予一個(gè)用戶。

權(quán)限互斥沒有詳細(xì)列出,此處以CA為例說明:CA不能同時(shí)具有“費(fèi)用審核”和“費(fèi)用報(bào)銷”權(quán)限,因而可在授權(quán)約束中表示為“費(fèi)用審核|費(fèi)用報(bào)銷”,即兩個(gè)權(quán)限只選其一。

在實(shí)際實(shí)現(xiàn)時(shí),一個(gè)角色相關(guān)的授權(quán)約束可表示為:(授權(quán)先決條件,角色基數(shù),靜態(tài)責(zé)權(quán)分離,權(quán)限互斥)這樣一個(gè)4元組。如CA的授權(quán)約束可表示為:(FE,玭,BC|CC,費(fèi)用審核|費(fèi)用報(bào)銷)。

4 結(jié) 語

本文就財(cái)務(wù)信息系統(tǒng)中的授權(quán)管理進(jìn)行了研究,主要就財(cái)務(wù)信息系統(tǒng)中的角色設(shè)置和授權(quán)約束進(jìn)行了分析,并用一個(gè)實(shí)際系統(tǒng)進(jìn)行了說明。分析結(jié)果表明:雖然大多數(shù)情況下財(cái)務(wù)信息系統(tǒng)中的角色設(shè)置可與實(shí)際工作職位相對(duì)應(yīng),但從角色管理的角度來說,角色和職位之間不能一一對(duì)應(yīng)?？紤]到角色繼承關(guān)系,可將公有權(quán)限賦予一個(gè)虛擬角色,以便角色之間的相互繼承。通常的財(cái)務(wù)信息系統(tǒng)只考慮了部分授權(quán)約束,本文考慮了財(cái)務(wù)系統(tǒng)中的主要授權(quán)約束,更加符合實(shí)際工作需要。本文主要考慮了授權(quán)管理中的靜態(tài)約束,下一步的工作將主要考慮動(dòng)態(tài)約束。

主要參考文獻(xiàn)

[1]王華.會(huì)計(jì)軟件應(yīng)用中系統(tǒng)管理員崗位的設(shè)置與分析[J].煤炭技術(shù),2003(4).

[2]馮永榮.會(huì)計(jì)電算化工作中的系統(tǒng)管理員[J].山西煤炭管理干部學(xué)院學(xué)報(bào),2002(2).

[3]張有峰.系統(tǒng)管理員的角色定位與職權(quán)配置[J].財(cái)會(huì)月刊:綜合版,2006(19).

[4]裴海橋,陳國(guó)旗. 基于Web的高校財(cái)務(wù)管理信息系統(tǒng)報(bào)表的設(shè)計(jì)與實(shí)現(xiàn)[J]. 計(jì)算機(jī)與現(xiàn)代化,2008(6).

[5]曹天杰,張永平.管理信息系統(tǒng)中基于角色的訪問控制[J].計(jì)算機(jī)應(yīng)用,2001(8).