CN103729582A - 一种基于三权分立的安全存储管理方法及系统 - Google Patents

Abstract

本发明提供一种基于三权分立的安全存储管理方法及系统，应用于安全存储领域，上述方法包括以下步骤：安全存储账户管理员权责管理模块对管理员账户进行管理；安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；安全存储审计管理员权责管理模块对管理员账户权限分配进行确认。通过实施本发明的技术方案，能有效提升安全存储系统的数据安全性，提升安全存储的保护等级。

Description

一种基于三权分立的安全存储管理方法及系统

技术领域

本发明涉及安全存储领域，尤其涉及一种基于三权分立的安全存储管理方法及系统。

背景技术

随着信息技术的普及，社会活动越来越依赖信息系统，在关系到国计民生和国家战略安全的领域，运行关键行业业务的信息系统能否可靠运转将直接影响到社会安定和国家安全，尤其在金融领域，这个矛盾表现的尤为突出；安全存储系统是我国金融、电信等应用领域中的重要信息化设备，对国家经济运行安全、社会安全和国家战略安全有着重要的作用。

目前，国内的IT基础还比较薄弱，还不能够实现完全的自主可控，在整个信息安全领域中存储安全是重中之重，如何确保关键信息的安全存储，如何保障信息的可靠存储，以及如何防止涉密信息的非授权访问都是安全存储要解决的关键问题。

长期以来，普通的存储系统用户特权划分只有两级：超级用户和普通用户。超级用户具有所有特权，普通用户没有特权；在频繁的使用过程中，出现了大量超级管理员误操作、被冒认的安全事故，给用户带来了不可估量的损失，事实上这种做法完全不符合安全系统的“最小特权”原则：“最小特权”要求，将其所有特权分解成一组细料度的特权子集，定义成不同的“角色”，分别赋予不同的用户，每个用户仅拥有完成其工作所必须的最小特权，这样完全避免了超级用户的误操作或其身份被假冒而带来的安全隐患。

发明内容

本发明提供一种基于三权分立的安全存储管理方法及系统，以解决上述问题。

本发明提供一种基于三权分立的安全存储管理方法。上述方法包括以下步骤：

安全存储账户管理员权责管理模块对管理员账户进行管理；

安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

安全存储审计管理员权责管理模块对管理员账户权限分配进行确认。

本发明还提供一种基于三权分立的安全存储管理系统，包括：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块、日志管理模块；其中：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块相互连接；安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块分别与日志管理模块相连；

安全存储账户管理员权责管理模块对管理员账户进行管理；

安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

安全存储审计管理员权责管理模块通过读写、查看日志管理模块中的日志，对管理员账户权限分配进行确认。

通过实施本发明的技术方案，能有效提升安全存储系统的数据安全性，提升安全存储的保护等级；本发明设计三权分立的管理模型，在存储系统中设立安全存储系统账户管理员、安全存储系统管理员和安全存储审计管理员三种角色账户，区别于传统存储系统中单一超级账户进行所有配置管理工作的特点，三种不同的角色分别拥有不用的权利，各司其职，相互限制，三种账户的操作信息全部记录在系统操作日志中，确保系统权限分散，提升存储系统安全特性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1所示为本发明的实施例1的安全存储帐户三权分立模型图；

图2所示为本发明的实施例2的安全存储三权分立权责划分图；

图3所示为本发明的实施例3的基于三权分立的安全存储管理方法处理流程图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

本发明提供了一种基于三权分立的安全存储管理方法，包括以下步骤：

安全存储账户管理员权责管理模块对管理员账户进行管理；

安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

安全存储审计管理员权责管理模块对管理员账户权限分配进行确认。

其中，安全存储账户管理员权责管理模块对管理员账户进行管理的过程为：安全存储账户管理员权责管理模块进行管理员账户的创建或删除。

其中，安全存储账户管理员权责管理模块进行管理员账户的创建或删除的日志信息记录在日志管理模块。

其中，安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置的过程为：安全存储系统管理员权责管理模块对管理员账户权限进行分配、存储系统资源管理、映射管理、快照及镜像管理。

其中，安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置的操作日志信息记录在日志管理模块。

其中，安全存储审计管理员权责管理模块对管理员账户权限分配进行确认的过程为：安全存储审计管理员权责管理模块通过读写、查看日志管理模块中的日志，对管理员账户权限分配进行确认。

图1所示为本发明的实施例1的安全存储账户三权分立模型图，包括：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块、日志管理模块；其中：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块相互连接；安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块分别与日志管理模块相连。

安全存储账户管理员权责管理模块是此方法实现的三个基石之一，提出安全存储系统中设立专门的账户管理员；账户管理员仅负责系统中管理员账户的创建与删除，默认账户管理员创建的账户不具备任何管理功能；账户管理员创建账户的日志信息保存记录在日志管理模块中，以便后续审计审查；存储系统中默认有一个账户管理员，且必须至少保留一个账户管理员；账户管理员一般由管理部门担任。

2、安全存储系统管理员权责管理模块是此方法实现的三个基石之二，提出安全存储系统中设立专门的系统管理员；系统管理员主要负责系统中存储相关参数配置设置，例如逻辑卷划分、磁盘映射、用户权限分配，实现系统存储功能的基本实现；系统管理员的所有操作信息保存在日志管理模块中；存储系统中默认有一个系统管理员，且必须至少保留一个系统管理员；系统管理员进行安全存储系统中账户权限的分配，存储系统资源管理，映射管理，快照、镜像等及高级功能及基本系统设置；系统管理员一般由技术部门担任。

安全存储审计管理员权责管理模块是此方法实现的三个基石之三，提出安全存储系统中设立专门的审计管理员，审计管理员一方面进行安全存储系统中账号权限的分配的确认；审计管理员主要负责系统中安全的审计工作，主要通过日志审计进行；只有审计管理员具有日志管理模块的读写、查看权限；存储系统中默认有一个审计管理员，且必须至少保留一个审计管理员；审计管理员一般由公司安全部门负责。

安全存储账户管理员权责管理模块对管理员账户进行管理；

安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

安全存储审计管理员权责管理模块通过读写、查看日志管理模块中的日志，对管理员账户权限分配进行确认。

图2所示为本发明的实施例2的安全存储三权分立权责划分图，如图2所示，包括：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块；其中，安全存储账户管理员权责管理模块具有的权限为创建或删除账户，对系统配置、系统运行日志、系统操作日志则无权限处理；安全存储系统管理员权责管理模块，对于账户、系统配置、系统运行日志有权限管理（对于账户进行权限分配；对于系统配置则具有配置权限；对于系统运行日志，则有查看权限），对于系统操作日志，则无权限处理；安全存储审计管理员安全管理模块，对于账户、系统运行日志、系统操作日志有权进行管理（对于账户进行权限确认；对于系统运行日志、系统操作日志而言，进行操作和审计），对于系统配置而言，则无权进行管理。

图3所示为本发明的实施例3的基于三权分立的安全存储管理方法处理流程图，包括以下步骤：

步骤301：安全存储账户管理员权责管理模块对管理员账户进行管理；

步骤302：安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

步骤303：安全存储审计管理员权责管理模块通过读写、查看日志管理模块中的日志，对管理员账户权限分配进行确认。

上述方案在具体实施时，需要做以下工作：对于开发端而言，需要论证本模型的权责具体划分，针对其可行性进行详细的模拟分析，确定账户角色定义软件流程的具体实现方式；针对账户权限，设定角色账户权责范围，屏蔽角色账户权限范围外权责；软件设计功能接口及界面；在以上功能实现的基础上，进行模拟测试验证。对于实施运维端而言，需要做以下工作：初始账户密码分发至相应管理员并更改密码；根据申请，由账户管理员建立运维所需账户；系统管理员进行所需运维账户的权限分配；审计管理审核并确认权限分配正确；各管理员各司其职管理安全存储系统。

本发明还提供了一种基于三权分立的安全存储管理系统，包括：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块、日志管理模块；其中：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块相互连接；安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块分别与日志管理模块相连；

安全存储账户管理员权责管理模块对管理员账户进行管理；

安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

安全存储审计管理员权责管理模块通过读写、查看日志管理模块中的日志，对管理员账户权限分配进行确认。

通过实施本发明的技术方案，能有效提升安全存储系统的数据安全性，提升安全存储的保护等级；本发明设计三权分立的管理模型，在存储系统中设立安全存储系统账户管理员、安全存储系统管理员和安全存储审计管理员三种角色账户，区别于传统存储系统中单一超级账户进行所有配置管理工作的特点，三种不同的角色分别拥有不用的权利，各司其职，相互限制，三种账户的操作信息全部记录在系统操作日志中，确保系统权限分散，提升存储系统安全特性。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种基于三权分立的安全存储管理方法，其特征在于，包括以下步骤：

安全存储账户管理员权责管理模块对管理员账户进行管理；

安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

安全存储审计管理员权责管理模块对管理员账户权限分配进行确认。

2.根据权利要求1所述的方法，其特征在于，安全存储账户管理员权责管理模块对管理员账户进行管理的过程为：

安全存储账户管理员权责管理模块进行管理员账户的创建或删除。

3.根据权利要求2所述的方法，其特征在于，安全存储账户管理员权责管理模块进行管理员账户的创建或删除的日志信息记录在日志管理模块。

4.根据权利要求1所述的方法，其特征在于，安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置的过程为：

安全存储系统管理员权责管理模块对管理员账户权限进行分配、存储系统资源管理、映射管理、快照及镜像管理。

5.根据权利要求4所述的方法，其特征在于，安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置的操作日志信息记录在日志管理模块。

6.根据权利要求1所述的方法，其特征在于，安全存储审计管理员权责管理模块对管理员账户权限分配进行确认的过程为：

安全存储审计管理员权责管理模块通过读写、查看日志管理模块中的日志，对管理员账户权限分配进行确认。

7.一种基于三权分立的安全存储管理系统，其特征在于，包括：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块、日志管理模块；其中：安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块相互连接；安全存储账户管理员权责管理模块、安全存储系统管理员权责管理模块、安全存储审计管理员安全管理模块分别与日志管理模块相连；

安全存储账户管理员权责管理模块对管理员账户进行管理；

安全存储系统管理员权责管理模块对系统中存储相关参数配置进行设置；其中，包括对管理员账户进行权限分配；

安全存储审计管理员权责管理模块通过读写、查看日志管理模块中的日志，对管理员账户权限分配进行确认。

Images