在51CTO安全頻道特別策劃的系列的上一篇文章《》里，J0ker給大家介紹了CISSP知識體系中的第二個CBK系統——安全架構和設計。接下來的8個CBK里，我們將進入CISSP知識體系中更為具體的部分，它們也都更多的從技術層面來講述如何使用各種安全方法和安全技術來實現信息安全目標——保密性、完整性和可用性。

訪問控制（Access Control）是CISSP知識體系中的第三個CBK，它的內容包括如何使用多種系統提供的安全功能來控制對組織的信息和數據處理資源的訪問，這些訪問控制措施通過管理、物理和邏輯控制的手段，我們可以從第一個CBK——信息安全管理里面中了解到它們的實施原則， 我們來逐一了解下這三類手段的定義：

物理手段（Physical Control）：是歷史最悠久的訪問控制手段，從許多個世紀前開始，人類就開始使用城墻、門鎖等方式來限制其他人對自己財產的占有。另外一種古老的物理訪問方法就是“口令”方式，要進入某個區域，進入者必須向哨兵提供一個口令，只有提供了正確的口令的人才能進入指定的區域。這些古老的物理訪問控制方法經過發展仍然在我們現在的生活中發揮重要的左右，它們的基本原理依然沒有改變，不同的也就是更多使用現代技術來實現。盡管訪問控制這個CBK中提到的許多技術是用在物理訪問控制方面的，但訪問控制CBK的主要目的并非是物理訪問控制，而是如何控制對信息系統的訪問。關于物理安全的更多內容會在后面的一個CBK——物理安全中詳細講述。

邏輯手段（Logical Control）：主要指的是在信息系統中部署的各種訪問控制手段，其中我們日常生活中最常見到的就是“密碼”這種方法，密碼因為它的低成本易部署而成為絕大部分操作系統中的標準配置，但它的安全性并不高，也容易被惡意的攻擊者所獲得。在訪問控制后面的內容里，我們還會了解到如何克服“密碼”的弱點和更安全的邏輯訪問控制方法。

管理手段（Administrative Control）：是指通過特定的規章制度或工作流程來限制對業務資源和特定的工作目標進行限制的訪問控制方法。和物理/邏輯訪問控制方法針對的對象是資源為主不同的是，管理手段主要針對的是一個業務流程，主要的原則是防止單個人員能夠獨自的控制特定的業務流程，以防止欺詐等犯罪行為的出現。常見的管理訪問控制方法有職責分離（Separation of Duties）、職責輪換（Rotation of Duties）和最低權限（Least Privilege）。

職責分離，就是指在完成一個關鍵的業務流程的時候，必須要根據業務的階段分割，來安排不同的人員合作完成。比如在一個企業里面，如果一個職員能夠負責設備的報廢上報、審批和入庫過程，他就有可能利用這個權利，將還沒有符合報廢標準的設備當作報廢設備進行替換，然后再通過對倉庫的控制權將其出售，在國外發生過類似的案件。因此，為了防止單個人員控制某個關鍵業務的整個流程，企業的管理層應該根據某個業務流程的階段，安排不同的人員負責，進行互相監督，盡管這樣有可能會導致合謀犯罪的發生，但這樣進行權限分離后的風險仍然要比單個人員控制整個流程要安全得多。在CISSP的考試中常常會出考察權限分離的情景題，回答這類題的關鍵就是要根據防止個人獨自控制整個業務的原則來進行答案的篩選。

職責輪換，對于重要業務流程的某個職務或不太重要的業務流程，盡管進行了職責分離但仍然會有欺詐行為的風險，職責輪換便作為職責分離的補充被提出。在企業中常見的職責輪換的形式一般如下，管理層給重要崗位的員工安排假期，并在該員工休假期間進行目標崗位的工作審計。因為職責輪換一般都涉及到放假，所以職責輪換也通常成為強制放假。職責輪換除了可以進一步的防止重要崗位的欺詐之外，另外也可以讓人員熟悉本來不屬于他負責的其他工作，為業務流程的崗位安排帶來人員備份和協調工作能力提升的好處。

最低權限，就是管理層只給用戶分配滿足他的日常工作所需的權限，比如財務部門的用戶不允許訪問審計部門的數據和資源、銷售部門的用戶不能訪問產品定價等。在軍事領域里面也有一個類似的“Need to know” 的原則，這就是最低權限原則的一個特例。最低權限原則還在系統架構設計、操作安全、網絡安全等領域有所要求，屬于CISSP知識體系中較為重要的概念，在復習時可以適當關注一下。

以上介紹到的都是屬于訪問控制CBK中最關鍵的概念，CISSP考試時對這幾個概念的考察也是比較多的，在復習時可以充分結合工作經驗或常見案例，掌握這幾個概念。

下篇預告：《Access Control2》，J0ker將給大家介紹訪問控制所面臨的威脅和對應措施，敬請期待！