实践案例 | 巧用三员管理，解决客户安全管控诉求

小编推荐

对于保密要求高的企业，超级管理员的系统权限过大，能轻易获取涉密信息，容易导致信息安全问题。如何在系统中引入安全保障机制来确保数据的安全性呢？

苍穹“三员管理”功能了解一下~三员相互独立，相互制约，安全管控不用愁~

撰稿人：金蝶-闫博

1 业务背景

客户属于涉密单位，保密要求很高。超级管理员在系统中权限过大，能轻易获得系统中存储、处理的涉密信息，一旦泄密，后果不堪设想。

因此，客户希望能够在系统中引入某种安全保障机制来确保数据的安全性。在系统中应用三员管理制度，便可很好地满足该诉求。

此外，客户要求业务软件的开发需满足相关测评要求（分保），三员管理属于分保的基本要求。

小知识：什么是“分保”？

分保：全称“涉密信息系统分级保护”，指的是按照涉密信息系统所处理国家秘密信息的不同等级，将系统划分为秘密、机密、绝密三个等级，分别采取不同强度的技术防护措施和管理模式实施保护。

具体诉求如下：

1、三员系统初始化后，不能修改三员的信息，授权时无法选择三员；

2、三员是三个虚拟用户，不能把实体用户授权为三员；

3、给普通用户授权时，选不到系统管理中三员的相关菜单；

4、三员采用用户名和密码的登录方式，必须进行IP绑定，或者用USBKEY+密码；

5、系统三员输错规定密码次数被锁定时，系统可以设置锁定时间，超过设置时间，自动解锁；同时三员可以相互解锁；

6、三员不能查看系统中业务模块信息；

7、不能存在超级管理员（同时拥有系统管理员、安全管理员、安全审计员，任意二个以上的权限），也不能把某一用户授权为超级管理员；

8、安全管理员和安全审计员审计日志时，须产生审计日志：XX员审计了XX员的日志。

为了解决客户的安全管理诉求，该客户使用了苍穹的三员管理功能。

三员管理将管理员权限划分为三部分（系统管理员、安全管理员、安全审计员），三员相互独立、相互制约，以减少泄密风险。

管理员角色划分
序号	角色	职责
1	系统管理员	1.负责系统参数、流程、打印模板、导入导出模板、编码规则配置等系统管理中日常运维的模块操作 2.负责用户、组织、角色的新建、维护 3.无法修改用户的密级和角色，人员、组织、岗位、群组等信息变动时，只能由安全管理员执行
2	安全管理员	1.对用户的密级、角色进行修改，拥有对用户授权的权限 2.设置密码策略和其他安全配置 3.审计一般用户操作产生的日志和安全审计员操作产生的日志 4.拥有将用户在系统内的账号及权限废止的权限
3	安全审计员	审计系统管理员操作产生的日志和安全管理员操作产生的日志的权限，不能增删改日志内容

步骤1：初始化三员角色及菜单权限分配

初始化配置：登录cosmic账号后，通过【系统管理】→【基础服务】→【特殊管理员】→【权限控制策略】→【新增】三员，并且分配相应权限。

注意：该功能仅限苍穹5.0及以上版本。

图1-初始化三员角色及菜单权限分配

步骤2：扩展【基础服务】应用及相关页面

因为每个管理员对组织