Когда я должен разрешить запись, но ограничить чтение?
Я и мои коллеги обсуждали сегодня нашу систему безопасности, сравнивая ее с правами доступа к файлам Unix. И в какой-то момент возник вопрос: есть ли случаи использования, когда вы должны ограничить доступ только к WRITE? Я был бы признателен за ссылки на статьи или книги, обсуждающие этот конкретный случай использования разрешений.
1 ответ
Да, у нас есть сервис-ориентированная архитектура, реализующая систему больниц, где все действия в каждой службе регистрируются в журнале. Этим службам разрешается записывать в журнал аудита, но не читать из него, поскольку это позволит им потенциально просматривать и выставлять PHI, записанную в журнале аудита другой службой.
Только служба журнала аудита может читать журналы. Все остальные сервисы имеют доступ только для записи.