par Wayne O. Evans - Mis en ligne le 26/05/2003
La plupart des sites informatiques
sécurisent les données de manière relativement
simple : en contrôlant l'accès
aux données des utilisateurs locaux
par des interfaces traditionnelles.
Ainsi, de nombreuses installations et
applications cantonnent l'utilisateur final
à des sélections à partir de menus
d'application et restreignent l'entrée
des commandes.
Cette sécurité par menu n'est plus
adaptée aux environnements hyperconnectés
d'aujourd'hui, parce que les
utilisateurs disposent souvent d'outils
capables de contourner la contrainte
fondée sur les seuls menus. Par
exemple, Client Access permet aux utilisateurs
de PC d'entrer des commandes,
d'utiliser des interfaces du
type pointer et cliquer pour supprimer
des objets, et d'échanger des fichiers
avec l'iSeries (AS/400) et le PC. Les utilisateurs
peuvent aussi passer outre la
sécurité par menu en utilisant FTP
pour obtenir et mettre (en lecture et
écriture) des fichiers de données sur
votre iSeries.
Quand les utilisateurs ont droit aux
données de production, ils ont le
moyen de copier, modifier ou supprimer
ces données. Si votre installation
autorise les utilisateurs à accéder aux
données de production et compte sur
la sécurité par menu pour la protection,
il est grand temps de modifier la
stratégie de sécurité. Je conseille plutôt
une stratégie de sécurité des ressources
appelée accès application seulement.
En utilisant les fonctions de sécurité
de l'iSeries et le niveau de sécurité 30 et supérieur, une stratégie d'accès
application seulement restreint l'accès
aux données de production en dehors
d'une application. J'explique ici pourquoi
l'accès application seulement est
nécessaire sur l'iSeries. Dans un prochain
article, je décrirai les problèmes
que j'ai rencontrés la première fois où
j'ai essayé d'utiliser cette stratégie et
les solutions qui m'ont aidé à en faire
une technique utile.
