Séparation de domaine dans GRC: Policy and Compliance Management
Séparation de domaine vous permet de séparer les données, les processus et les tâches administratives en groupes logiques appelés domaines. Vous pouvez contrôler plusieurs aspects de cette séparation, notamment les utilisateurs qui peuvent voir les données et y accéder.
Niveau de prise en charge : basique
- Logique métier : garantit que les données parviennent au bon domaine pour les cas d'utilisation du fournisseur de service de l'application.
- L'application prend en charge Séparation de domaine lors de l'exécution. Séparation de domaine inclut la séparation à partir de l'interface utilisateur, des clés de cache, des rapports, des déploiements et des agrégations.
- Le propriétaire de l'instance doit configurer l'application de sorte qu'elle fonctionne sur plusieurs locataires.
Exemple de cas d'utilisation : lorsqu'un fournisseur de service (SP) utilise la messagerie instantanée pour répondre au message d'un locataire-client, le client doit pouvoir afficher la réponse du SP.
Pour en savoir plus sur les niveaux de prise en charge, consultez la rubrique Prise en charge de Séparation de domaine par les applications.
Vue d'ensemble
- Nécessité d’appliquer une séparation absolue des données entre les entités business (séparation des données).
- personnalisent les définitions des processus business et les interfaces utilisateur pour chaque domaine (administration déléguée) ;
- conservent certains processus globaux et des générations de rapports globaux dans une seule instance.
Comment GRC gère Domain Separation
Alors que GRC prend en charge la séparation des données, la séparation de la logique et du processus n’est pas entièrement prise en charge.
- De nombreux types d’enregistrements dans GRC sont générés automatiquement par le biais de processus utilisateur. Les entités, les contrôles, les risques, les indicateurs et les tests de contrôle sont des enregistrements qui peuvent être générés automatiquement. Pour les enregistrements générés automatiquement (et pour tout enregistrement GRC généré manuellement), le domaine de l’enregistrement est le même que le domaine de l’utilisateur responsable de la création ou de la génération des enregistrements.
- La génération automatique doit être gardée à l’esprit lorsque vous travaillez dans une implémentation GRC séparée par domaine. Les utilisateurs doivent s’assurer qu’ils créent/génèrent des enregistrements au bon niveau de domaine afin qu’ils soient visibles par le bon ensemble d’utilisateurs.
Par exemple, imaginons que vous ayez des domaines sous la forme suivante :
- Si vous disposez d’un risque ou d’un contrôle que vous souhaitez faire évaluer par les utilisateurs dans les domaines A et B, le risque ou le contrôle doit être généré ou créé manuellement au niveau global. Si le risque ou le contrôle est créé dans le domaine B, vous ne serez pas en mesure de recréer le risque ou le contrôle dans le domaine A en raison de l’indexation.
- Si vous avez un risque ou un contrôle que vous souhaitez faire évaluer par les utilisateurs dans TOP et Domaine A, vous pouvez créer le risque ou le contrôle dans le Domaine A.
À moins que les risques et les contrôles se trouvent dans le domaine Global, les utilisateurs ne doivent pas affecter de risques ou de contrôles d’un domaine supérieur aux utilisateurs d’un domaine inférieur. Dans l’exemple ci-dessus, si vous avez un contrôle dans le domaine TOP, vous ne devez pas l’affecter pour attestation aux utilisateurs des domaines A ou B, car ces utilisateurs n’auraient pas accès au contrôle ; Par conséquent, le questionnaire d’attestation ou d’évaluation ne sera pas généré.
De même, les utilisateurs ne doivent pas affecter les objectifs de contrôle et les déclarations de risque d’un domaine supérieur aux attestations et évaluations d’un domaine inférieur. Sinon, le questionnaire d’attestation ou d’évaluation ne serait pas généré.
Cas d'utilisation
Les données GRC pour le service informatique peuvent être séparées des données GRC d’autres départements. Chaque zone commerciale qui utilise l’application GRC peut disposer de données distinctes qui ne peuvent pas être partagées avec d’autres départements. Par conséquent, chaque département peut avoir ses propres entités, politiques, contrôles, risques, etc.
Lorsqu’il examine un contrôle du domaine informatique, l’utilisateur peut choisir d’élargir le champ d’application de domaine pour afficher les valeurs du domaine financier ou de réduire le champ d’application de domaine pour afficher uniquement les contrôles qui correspondent au domaine informatique.
Par défaut, Domain Separation ajoute un champ de domaine aux tables Tâche [task] et Éléments de configuration [cmdb_ci] et à leurs extensions.
Vous pouvez étendre Domain Separation à toutes les nouvelles tables que vous créez en ajoutant un champ sys_domain à la définition de dictionnaire de la table. Par défaut, le domaine système uniquement sépare les tables de plateforme et d'application de base de référence, le cas échéant.
[sys_dictionary] et Contournement d’entrée de dictionnaire [sys_dictionary_override] ), car cela peut produire des résultats inattendus.Dans ce cas d'utilisation, les scripts clients, les règles métiers, les workflows, les processus, etc. peuvent être séparés par domaine.
Bien que le comportement proposé avec Domain Separation fournisse une prise en charge partagée, le partage est toujours contenu dans une seule instance. Cela signifie que certaines données et propriétés globales et certains processus globaux sont partagés dans tous les domaines. Par exemple, l'option « Mémoriser mon nom » du système sur la page de connexion est globale et ne peut pas être spécifiée par domaine.
Si une séparation complète et totale de toutes les propriétés système est nécessaire et n'exige pas de génération de rapports globaux ou de processus globaux, la meilleure approche à adopter est l'utilisation d'instances distinctes.