在企業(yè)網(wǎng)絡安全管理中，為員工提供完成其本職工作所需要的信息訪問權(quán)限、避免未經(jīng)授權(quán)的人改變公司的關(guān)鍵文檔、平衡訪問速度與安全控制三方面分別有以下三大原則。
原則一：最小權(quán)限原則
最小權(quán)限原則要求我們在企業(yè)網(wǎng)絡安全管理中，為員工僅僅提供完成其本職工作所需要的信息訪問權(quán)限，而不提供其他額外的權(quán)限。
如企業(yè)現(xiàn)在有一個文件服務器系統(tǒng)，為了安全的考慮，我們財務部門的文件會做一些特殊的權(quán)限控制。財務部門會設置兩個文件夾，其中一個文件夾用來放置一些可以公開的文件，如空白的報銷憑證等等，方便其他員工填寫費用報銷憑證。還有一個文件放置一些機密文件，只有企業(yè)高層管理人員才能查看，如企業(yè)的現(xiàn)金流量表等等。此時我們在設置權(quán)限的時候，就要根據(jù)最小權(quán)限的原則，對于普通員工與高層管理人員進行發(fā)開設置，若是普通員工的話，則其職能對其可以訪問的文件夾進行查詢，對于其沒有訪問權(quán)限的文件夾，則服務器要拒絕其訪問。
最小權(quán)限原則除了在這個訪問權(quán)限上反映外，最常見的還有讀寫上面的控制。如上面這個財務部門有兩個文件夾A與B.作為普通員工，A文件夾屬于機密級，其當然不能訪問。但是，最為放置報銷憑證格式的文件夾B，我們設置普通員工可以訪問�？墒�，這個訪問的權(quán)限是什么呢?也就是說，普通員工對于這個文件夾下的文件具有哪些訪問權(quán)限?刪除、修改、抑或只有只讀?若這個報銷憑證只是一個格式，公司內(nèi)部的一個通用的報銷格式，那么，除了財務設計表格格式的人除外，其他員工對于這個文件夾下的我文件，沒有刪除、修改的權(quán)限，而只有只讀的權(quán)限�？梢�，根據(jù)最小權(quán)限的原則，我們不僅要定義某個用戶對于特定的信息是否具有訪問權(quán)限，而且，還要定義這個訪問權(quán)限的級別，是只讀、修改、還是完全控制?
不過在實際管理中，有不少人會為了方便管理，就忽視這個原則。
如文件服務器管理中，沒有對文件進行安全級別的管理，只進行了讀寫權(quán)限的控制。也就是說，企業(yè)的員工可以訪問文件服務器上的所有內(nèi)容，包括企業(yè)的財務信息、客戶信息、訂單等比較敏感的信息，只是他們不能對不屬于自己的部門的文件夾進行修改操作而已。很明顯，如此設計的話，企業(yè)員工可以輕易獲得諸如客戶信息、價格信息等比較機密的文件。若員工把這些信息泄露給企業(yè)的競爭對手，那么企業(yè)將失去其競爭優(yōu)勢。
再如，對于同一個部門的員工，沒有進行權(quán)限的細分，普通員工跟部門經(jīng)理具有同等等權(quán)限。如在財務管理系統(tǒng)中，一般普通員工沒有審核單據(jù)與撤銷單據(jù)審核的權(quán)限，但是，有些系統(tǒng)管理員往往為了管理的方便，給與普通員工跟財務經(jīng)理同等的操作權(quán)利。普通員工可以自己撤銷已經(jīng)審核了的單據(jù)。這顯然給財務管理系統(tǒng)的安全帶來了不少的隱患。
所以，我們要保證企業(yè)網(wǎng)絡應用的安全性，就一定要堅持“最小權(quán)限”的原則，而不能因為管理上的便利，而采取了“最大權(quán)限”的原則，從而給企業(yè)網(wǎng)絡安全埋下了一顆定時炸彈。
原則二：完整性原則
完整性原則指我們在企業(yè)網(wǎng)絡安全管理中，要確保未經(jīng)授權(quán)的個人不能改變或者刪除信息，尤其要避免未經(jīng)授權(quán)的人改變公司的關(guān)鍵文檔，如企業(yè)的財務信息、客戶聯(lián)系方式等等。
完整性原則在企業(yè)網(wǎng)絡安全應用中，主要體現(xiàn)在兩個方面。
一是未經(jīng)授權(quán)的人，不等更改信息記錄。如在企業(yè)的ERP系統(tǒng)中，財務部門雖然有對客戶信息的訪問權(quán)利，但是，其沒有修改權(quán)利。其所需要對某些信息進行更改，如客戶的開票地址等等，一般情況下，其必須要通知具體的銷售人員，讓其進行修改。這主要是為了保證相關(guān)信息的修改，必須讓這個信息的創(chuàng)始人知道。否則的話，若在記錄的創(chuàng)始人不知情的情況下，有員工私自把信息修改了，那么就會造成信息不對稱的情況發(fā)生。所以，一般在信息化管理系統(tǒng)中，如ERP管理系統(tǒng)中，默認都會有一個權(quán)限控制“不允許他人修改、刪除記錄”。這個權(quán)限也就意味著只有記錄的本人可以修改相關(guān)的信息，其他員工最多只有訪問的權(quán)利，而沒有修改的權(quán)利。
