Exposition No 9 : Incohérence de la possession et des droits sur les objets

plus difficiles pour un officier de sécurité est de restreindre la propriété des objets. A moins d’avoir une politique prudente de restriction de propriété des objets, les programmeurs qui créent vos applications sont les détenteurs de vos programmes et fichiers de données. De ce fait, quand vous supprimez les profils utilisateurs des programmeurs qui quittent la société, certaines applications de production risquent tout à  coup de ne plus fonctionner.

En règle générale, aucun individu ne devrait posséder d’objets. Les objets devraient appartenir aux profils utilisateurs, dont le seul but est de posséder des données de production. Ces profils possesseurs de production ne devraient pas être utilisés comme profils de groupes. Toutefois, il est très difficile de définir manuellement la propriété et les droits pour de grands nombres d’objets de production.

En la matière, je recommande une stratégie de sécurité appelée application only-access (Accès aux, seules applications), selon laquelle les utilisateurs n’ont accès aux données que quand ils exécutent les applications approuvées. L’Application only-access utilise les droits sur les objets OS/400 pour restreindre l’accès aux fichiers de données de production. Quand un utilisateur exécute une application approuvée, celle-ci pourra soit adopter le profil utilisateur du propriétaire de production, soit permuter le profil de groupe vers le propriétaire de production pour donner à  l’utilisateur l’accès aux objets. Je décris cette stratégie de manière plus détaillée sur mon site.

Je recommande également d’utiliser une application tierce pour aider à  la gestion des droits. Avec cette méthode, plutôt que d’essayer de changer des objets individuels dans une bibliothèque pour obéir à  un certain standard, un officier de sécurité définit un modèle de sécurité pour un type d’objet, y compris le propriétaire de l’objet et les utilisateurs autorisés. Ensuite, l’application de gestion des objets peut extraire et comparer la propriété et les utilisateurs autorisés pour tous les objets d’une bibliothèque.