Permissions Comparison

概要と開発の背景

IBM Engineering Lifecycle Management では、ユーザーがプロジェクトで何をできるかは、プロジェクト・エリアのロールと、各ロールが持つ権限によって決まります。誰が成果物を作成または削除できるか、モジュールを変更できるか、レビューを承認できるか、ベースラインを作成できるか、変更セットをデリバーできるか、といったことです。チーム・エリア、タイムライン、イテレーションは、プロジェクト内のそれぞれの範囲でこれらの権限をさらに変更できます。

通常、組織はすべてのプロジェクトを同じプロセス・テンプレートから開始しますが、その後プロジェクトは少しずつずれていきます。あるプロジェクトでは作成者が成果物を削除でき、別のプロジェクトではチーム・エリアに独自の権限が与えられ、また別のプロジェクトには他にないロールがあります。Web クライアントには一度に 1 つのプロジェクト・エリアの権限しか表示されないため、こうした相違を見つけるには同じ画面を並べて開き、ロールごとに見比べる必要があります。Permissions Comparison はそれを代わりに読み取り、異なる点だけを一覧表示します。

解決する課題

• 同じテンプレートから作成したプロジェクト・エリアの権限がもはや一致せず、どこが違うのか誰も把握していない。
• すべてのプロジェクト・エリアのすべてのロールを手作業で確認する必要があるアクセス・レビュー。
• チーム・エリアやイテレーションが、ロールにプロジェクト・エリアより多い、または少ない権限を気づかないうちに与えている。
• 文書化されたロールと権限がサーバーに構成されているものと同じであることを、監査人に示す証拠がない。

規格と監査にとって重要な理由

規制対象や安全関連の開発に関する規格がツールを名指しすることはまれですが、管理された記録を変更できるのは権限を与えられた人だけであること、そして誰が何をできるかを示せることを求めています。ELM のプロジェクト・エリアでは、その管理がロールの権限です。Permissions Comparison は、それがすべてのプロジェクトで同じであり、文書化されたプロセスと一致していることを確認する手段です。

• FDA 21 CFR Part 11 (医療機器と医薬品の電子記録)：§ 11.10(d) は "limiting system access to authorized individuals" (システムへのアクセスを権限のある個人に限定すること) を求め、§ 11.10(g) は権限チェックを求めています。これにより、権限のある個人だけが記録を変更したり、該当する操作を実行したりできるようにします。比較結果には、プロジェクト・エリアごとに、どのロールがどの操作を実行できるかが表示されます。
• ISO/IEC 27001:2022：附属書 A の管理策 5.15 Access control、5.18 Access rights、5.3 Segregation of duties、8.2 Privileged access rights。アクセス権は定期的にレビューし、相反する職務は分離する必要があります。たとえば、要求を記述するロールと、それを承認するロールです。Excel レポートには、何をいつレビューしたかが記録されます。
• ISO 26262、Automotive SPICE、DO-178C、IEC 62304：この 4 つはいずれも、要求などの作業成果物の構成管理と変更管理を求めています (ISO 26262 Part 8、Automotive SPICE の SUP.8 と SUP.10、DO-178C のセクション 7、IEC 62304 の箇条 8)。DOORS Next では、どのロールが成果物を変更し、ベースラインを作成し、変更をデリバーできるかが、その管理の一部です。ロールがプロセスの記述以上のことを許可しているプロジェクトは、典型的な監査指摘事項です。

アセッサーはプロジェクトの一部をサンプルとして調べ、どのプロジェクトでも同じプロセスであることを期待します。アセスメントの前にすべてのプロジェクト・エリアを参照プロジェクトと比較すれば、違いを先に把握できます。

メリット

• すべての相違点を 1 つの一覧に: ロール、その順序と多重度、一方では許可され他方では許可されていない各権限を、プロジェクト・エリア、チーム・エリア、必要に応じてタイムラインとイテレーションについて表示します。
• 1 つの比較元に複数の比較先: 参照用のプロジェクト・エリアを、同じアプリケーションの最大 25 の他のプロジェクト・エリアと比較できます。
• すべての ELM アプリケーションで動作: DOORS Next、Workflow Management (EWM)、Test Management (ETM)、Global Configuration で、ELM Mini Dashboard から使用できます。
• Excel レポート: 完全な権限マトリックスを含み、そのままアクセス・レビューや監査ファイルに使えます。
• 読み取り専用: ウィジェットは読み取るだけで、権限を変更することはありません。

使い方

1. Settings で、チーム・エリアを比較するか (最初はオン)、タイムラインとイテレーションを比較するか (最初はオフ) を選びます。
2. Compare で Application (アプリケーション) を選びます。From は比較元です。DOORS Next のダッシュボードでは開いているプロジェクトから始まり、Change で別のプロジェクト・エリアを選べます。
3. To で Add をクリックし、最大 25 のプロジェクト・エリアにチェックを付けて (検索、Select all、Show archived が役立ちます)、Apply をクリックします。
4. Compare をクリックします。結果ブロックには、カテゴリーごとまたは比較先ごとの相違数と、読み取れなかった比較先が Retry とともに表示されます。
5. Differences で、比較先が複数ある場合はまず比較先を選び、次に Roles または Permissions を選びます。権限は Author / Team area: Business Recovery のようにロールとレベルごとにまとめられます。行をクリックすると両側の内容が表示されます。
6. 結果ブロックの Export to Excel をクリックして比較結果全体を保存します。

知っておきたいこと

• ロールは ID で、次に名前で照合されるため、名前が同じで ID が異なるロールは同じロールとみなされます。複数のロールを持つユーザーは、その権限を許可する最初のロールの権限を得るため、ロールの順序も比較されます。
• ウィジェットが比較するのはロールとその権限であり、誰がそのロールを持っているかではありません。どのユーザーがどのロールを持っているかは User Audit で一覧表示できます。
• チーム・エリア、タイムライン、イテレーションで、一方の側だけがロールに独自の権限を与えている場合は、権限の相違の長い一覧ではなく 1 行として報告されます。
• 主な使用場面: 監査やアセスメントの前、プロセス・テンプレートを変更した後、テンプレートから新しいプロジェクトを設定するとき。
• ウィジェットがプロジェクトを準拠させるわけではありません。権限が文書化されたプロセスと一致しているかを確認するための事実と、証拠として保管できるレポートを提供します。