8、信息访问治理：升级与激励的价值

信息访问治理：升级与激励的价值

1. 引言

随着全球经济从工业时代迈向数字时代，焦点已从实物商品生产转向信息处理。如今，快速获取信息成为企业成功的关键资产。比如在供应链管理中，信息共享对供应链协调至关重要；在创新领域，自由流动的信息能提升创新生产力。

然而，对信息滥用的担忧促使组织限制信息获取。身份和访问控制系统被广泛应用以管理信息访问，同时，各种法规合规要求也促使企业加强控制和治理，减少信息访问。因此，信息治理变得尤为必要，它需要平衡两个目标：一方面，访问治理应让用户能够与数据交互以创造价值；另一方面，需要控制措施来消除数据滥用。在动态环境中，企业常面临意外情况，用户的信息需求不断变化，这就要求用户的访问权限与信息需求同步，以抓住商业机会，创造价值。为实现这一灵活性，我们考虑一种允许员工在需要时升级访问受控数据和应用程序的访问治理系统。

2. 背景与解决方案框架

2.1 访问控制策略

访问是主体与客体之间的一种特定交互，会导致信息在两者之间流动。在企业环境中，主体通常是信息系统的用户，如员工、商业伙伴和客户，客体则是各种数据源。访问控制是指仅允许授权用户、程序或其他系统访问系统资源的过程。常见的访问控制策略有三种：
- 自主访问控制（DAC）：基于用户身份和授权实施，明确规定“谁、什么、如何”访问数据源。
- 强制访问控制（MAC）：基于系统中主体和客体的分类实施，为每个用户或数据源分配安全级别，根据特定原则授予访问权限。
- 基于角色的访问控制（RBAC）：较新出现的策略，角色是完成工作所需的一组访问需求，用户可被分配一个或多个角色。

2.2 访问控制策略的安全性与灵活性 </