Domain Separation in GRC

  • Freigeben Version: Xanadu
  • Aktualisiert 1. August 2024
  • 4 Minuten Lesedauer

    • Dies ist ein Überblick über Domain Separation und die Governance, Risk und Compliance -Anwendungen. Mit der Domain Separation können Sie Daten, Prozesse und Verwaltungsaufgaben in logische Gruppierungen, sogenannte Domänen, aufteilen. Sie können verschiedene Aspekte dieser Trennung steuern, einschließlich der Benutzer, die Daten sehen und darauf zugreifen können.

    Support-Stufe: Basis

    • Geschäftslogik: Stellen Sie sicher, dass Daten in die richtige Domäne für die Anwendungsfälle des Application Service Providers übertragen werden.
    • Die Anwendung unterstützt die Domänentrennung zur Laufzeit. Zur Domänentrennung gehören die Trennung von der Anwenderoberfläche, Cache-Schlüssel, Berichterstellung, Rollups und Zusammenfassungen.
    • Der Besitzer der Instanz muss die Anwendung einrichten, damit sie über mehrere Mandanten hinweg funktioniert.

    Beispiel-Anwendungsfall: Wenn ein Service Provider (SP) den Chat verwendet, um auf die Nachricht eines Mandanten (Kunden) zu antworten, muss der Kunde die Antwort des Service Providers sehen können.

    Weitere Informationen zu den Supportstufen finden Sie unter Anwendungssupport für die Domänentrennung.

    Übersicht über Domain Separation

    Die Domänentrennung ist am besten geeignet für Kunden, die:
    • absolute Datentrennung zwischen Business-Entitäten (Datentrennung) benötigen.
    • Geschäftsprozessdefinitionen und Benutzerschnittstellen für jede Domäne anpassen möchten (delegierte Verwaltung).
    • einige globale Prozesse und globale Berichte in einer einzigen Instanz verwalten.
    Diese Benutzer können den Domänenumfang erweitern oder reduzieren, um Daten aus anderen Domänen anzuzeigen oder auszublenden.
    Hinweis:
    Benutzer haben immer Zugriff auf Daten aus Domänen, die ihnen durch die Domänensichtbarkeit explizit gewährt wurden.

    So funktioniert Domain Separation in GRC

    • GRC unterstützt zwar die Trennung von Daten, aber die Trennung von Logik und Prozess wird nicht vollständig unterstützt.

    • Viele Arten von Datensätzen werden in GRC automatisch durch Benutzerprozesse generiert. Entitäten, Steuerungen, Risiken, Indikatoren und Kontrolltests sind alles Felder, die automatisch generiert werden können. Bei Datensätzen, die automatisch generiert werden, wird die Domäne des Datensatzes durch den für den Auftrag konfigurierten Domäneniterator bestimmt. Andernfalls wird standardmäßig die Standarddomäne (falls definiert) oder die globale Domäne verwendet. Bei manuell generierten Datensätzen wird die Domäne von der Domäne des Benutzers abgeleitet, der den Datensatz erstellt.

      Wenn Sie mit einer domänengetrennten GRC-Implementierung arbeiten, sollten Sie die automatische Generierung berücksichtigen. Anwender sollten sicherstellen, dass sie Datensätze auf der richtigen Domänenebene erstellen/generieren, damit sie für die richtigen Anwender sichtbar sind.

      Angenommen, Sie haben Domänen, die wie folgt aussehen:
      • Global
      • TOP
        • Domäne A
        • Domäne B
    • Wenn Sie ein Risiko oder eine Kontrolle haben, das bzw. das von Benutzern in den Domänen A und B bewertet werden soll, muss das Risiko oder die Kontrolle auf globaler Ebene generiert oder manuell erstellt werden. Wenn das Risiko oder die Kontrolle in Domäne B erstellt wird, können Sie das Risiko oder die Kontrolle in Domäne A aufgrund der Indizierung nicht neu erstellen.
    • Wenn Sie ein Risiko oder eine Kontrolle haben, das bzw. das von Benutzern in TOP und Domäne A bewertet werden soll, können Sie das Risiko oder die Kontrolle in Domäne A erstellen.

    Sofern sich die Risiken und Steuerungen nicht in der globalen Domäne befinden, sollten Benutzer keine Risiken oder Steuerungen in einer höheren Domäne Benutzern in einer niedrigeren Domäne zuweisen. Wenn Sie im obigen Beispiel ein Steuerelement in der TOP-Domäne haben, sollten Sie es nicht zum Nachweis Benutzern in den Domänen A oder B zuweisen, da diese Benutzer keinen Zugriff auf das Steuerelement haben. Daher wird der Nachweis- oder Bewertungsfragebogen nicht generiert.

    Ebenso sollten Benutzer keine Kontrollziele und Risikobeschreibungen in einer höheren Domäne zu Bestätigungen und Bewertungen in einer niedrigeren Domäne zuweisen. Andernfalls würde der Nachweis oder der Bewertungsfragebogen nicht generiert.

    Anwendungsfall

    GRC-Daten für die IT können von den GRC-Daten anderer Abteilungen getrennt werden. Jeder Geschäftsbereich, der die GRC-Anwendung verwendet, kann über separate Daten verfügen, die nicht für andere Abteilungen freigegeben werden können. Daher kann jede Abteilung ihre eigenen Entitäten, Richtlinien, Kontrollen, Risiken usw. haben.

    Bei der Anzeige eines Steuerelements aus der IT-Domäne kann der Benutzer den Domänenbereich erweitern, um Werte aus der Domäne Finance anzuzeigen, oder den Domänenbereich reduzieren, um nur Steuerungen anzuzeigen, die der IT-Domäne entsprechen.

    Standardmäßig fügt Domain Separation den Tabellen „Aufgabe“ [task]und „Konfigurationselemente “ [cmdb_ci] und ihren Erweiterungen ein Domänenfeld hinzu.

    Sie können Domain Separation auf alle neu erstellten Tabellen erweitern, indem Sie der Wörterbuchdefinition der Tabelle das Feld sys_domain hinzufügen. Standardmäßig trennt das System nur Plattform- und Baselineanwendungstabellen nach Domäne, sofern angemessen.

    Warnung:
    ServiceNow empfiehlt keine domänentrennenden Plattformtabellen (Tabellen mit dem Präfix sys_, z. B. die Tabellen Wörterbucheintrag [sys_dictionary]und Wörterbucheintragsüberschreibung [sys_dictionary_override] ), da dies zu unerwarteten Ergebnissen führen kann.

    In diesem Anwendungsfall ist es möglich, Domänentrennung auf Clientskripts, Geschäftsregeln, Workflows, Prozesse usw. anzuwenden.

    Während Domain Separation Verhalten bietet, das Multi-Tenancy unterstützt, bleibt auch Multi-Tenancy innerhalb einer einzigen Instanz. Das bedeutet, dass einige globale Eigenschaften, einige globale Daten und einige globale Prozesse in allen Domänen freigegeben werden. Die Systemoption "Benutzernamen speichern" auf der Anmeldeseite ist beispielsweise global und kann nicht pro Domäne angegeben werden.

    Wenn Sie eine vollständige und absolute Trennung aller Systemeigenschaften benötigen und keine globale Berichterstellung oder globalen Prozesse benötigen, sind separate Instanzen die beste Wahl.

    Wie Domänenwerte GRC-Objekten zugewiesen werden

    Datensätze, die automatisch generiert werden. Die Domäne des Datensatzes wird durch den für den Auftrag konfigurierten Domäneniterator bestimmt. Die folgende Tabelle zeigt, wie Domänenwerte verschiedenen GRC-Objekten zugewiesen werden:

    GRC-Objekte Domänenquelle
    Entität Ruft den Domänenwert aus Apply_to ab.
    Entität für Entitätstyp Ruft den Domänenwert vom Entitätstyp ab.
    Elementbewertung Ruft den Domänenwert aus dem Element ab (Risiko oder Kontrolle).
    Problem Ruft den Domänenwert aus dem Element ab (Risiko oder Kontrolle).
    Entität für Informationsobjekt Ruft den Domänenwert aus der Entität ab.
    Indikator Ruft den Domänenwert aus der Steuerung oder dem Risiko ab.
    Indikatoraufgabe Ruft den Domänenwert aus dem Indikator ab.
    Unterstützungsdaten Ruft den Domänenwert aus dem Indikator ab.
    Indikatorergebnis Ruft den Domänenwert aus dem Indikator ab.
    Hinweis:
    Wenn die Domänenquelle „Global“ oder „Null“ ist, wird die Domäne dieses Objekts auf „Standard“ festgelegt.