【应用安全】什么是SoD矩阵，为什么您的组织需要它？

几十年来，逻辑访问管理是IT通用控制环境中的一个关键控制。即使管理逻辑访问权限的一般概念非常简单，许多组织仍在努力应用所有这些原则。SoD矩阵可能是添加到组织工具箱中的有用工具。

逻辑访问原则概述

逻辑访问管理的主要原则是最小权限原则。组织中的员工应该只能访问他/她执行其工作职责所需任务所需的功能、数据和信息。许多控制可以帮助实现这一原则。以下是几个例子：

• 新员工：当您的组织中有新员工时，应实施正式流程来批准此角色所需的访问权限。审批应由管理层执行。
• 角色修改/晋升：当员工在组织中有新工作或新职责时，应实施正式流程来批准所需的新访问权限，并在不再需要时删除以前的访问权限。

在分析上述控制措施时，必须考虑职责分离（SoD）。事实上，SoD的概念是让不同的员工参与整个过程中的特定任务。因此，一个人不应该有权执行关键流程中的所有任务。

示例：为收到的发票向供应商付款

此过程中的一般步骤（此处仅列出示例的关键步骤）：

• 在系统中创建供应商
• 验证并输入发票
• 支付发票
• 记录交易

如果在此过程中不尊重SoD，则同一员工有权执行4个步骤。然而，这是有风险的，因为员工有可能创建假供应商（例如使用他/她自己的银行账号），创建假发票并付款。因此，在这种情况下，SoD不会得到维护，这会增加组织中的欺诈风险。

SoD矩阵的有用性

SoD矩阵的实施可以帮助管理层识别不兼容的职责，并验证授予员工的访问权限不会增加未经授权的交易或行动的风险。

矩阵的几种格式可以识别不兼容的职责。以下是一个示例：

当SoD矩阵完成时，它有助于管理层定义工作职责中的角色和责任，以及财务或行政系统的it角色。经理可以根据矩阵进行SoD分析，以快速确定员工是否拥有过多的访问权限，但职责不兼容。

可以在分析中添加另一个补充矩阵，其中组织将包括授予访问权限的不同角色（或员工姓名）。该矩阵可以与SoD矩阵进行比较，以快速识别特定角色中不兼容的职责。

灵活且进化的工具

矩阵的创建不是一项静态任务，而是随着组织的发展而变化。管理层应进行定期审查，以验证矩阵仍然与组织的运营相关。

此外，管理层应该意识到，不同的系统可能会产生不兼容的职责。来自多个系统的访问权限的组合可能会产生不兼容的职责。因此，系统不应创建SoD矩阵。

不仅仅是适用于金融的工具

此工具不仅适用于财务部门。事实上，在组织的许多部门和团队中，职责分离是至关重要的。在人力资源部门，同一名员工不应该有权雇佣新员工、管理福利和管理工资。在IT部门，同一员工不应该有权在开发环境中开发新功能并将其转移到生产中。SoD矩阵可以成为这些部门识别不兼容职责的有用工具。

如果您的组织太大而没有一个单一的SoD矩阵，该怎么办？

您可以按部门创建一些SoD矩阵，以帮助管理不兼容职责的风险。矩阵分割应基于风险和部门之间的相互依存关系。

如果您的组织太小，无法在同一部门拥有不同的员工来履行所有关键职能，该怎么办？

这是中小型企业的常见问题。事实上，这些组织中可能会出现SoD冲突，因为按部门划分只有少数员工。在这种情况下，重要的是确定SoD冲突以及与此冲突相关的风险。当风险被识别时，实施补偿控制以减轻/降低这种风险是很重要的。

实例

在IT部门，员工A有权在开发环境中开发新功能，并将其应用到生产环境中。这是一场SoD冲突。IT经理可以在进入生产环境之前批准所有更改（预防性控制）。但是，员工可以创建更改，而无需征得经理的批准。因此，应实施额外的控制：管理层根据日志定期审查所有变更（检测控制）。事实上，IT经理可以定期验证日志，以验证所有更改是否已获得批准。显然，员工A不应该有权修改更改日志！

总之，考虑到不断发展的环境：新员工、离职、晋升、新任务、新系统、新项目等，并非所有组织都能轻松管理逻辑访问管理。管理层应意识到围绕逻辑访问权限和SoD冲突的风险，以实施关键控制（包括必要时的补偿控制）并适当界定其团队中的角色和责任。