Permissions Comparison

개요 및 개발 배경

IBM Engineering Lifecycle Management에서 사용자가 프로젝트에서 무엇을 할 수 있는지는 프로젝트 영역의 역할과 각 역할이 가진 권한에 따라 결정됩니다. 누가 아티팩트를 만들거나 삭제할 수 있는지, 모듈을 변경할 수 있는지, 검토를 승인할 수 있는지, 기준선을 만들 수 있는지, 변경 세트를 전달할 수 있는지 등이 여기에 해당합니다. 팀 영역, 타임라인, 반복은 프로젝트에서 각자 맡은 부분에 대해 이 권한을 다시 변경할 수 있습니다.

조직은 보통 모든 프로젝트를 같은 프로세스 템플릿으로 시작하지만, 이후 프로젝트는 점점 달라집니다. 어떤 프로젝트는 작성자가 아티팩트를 삭제할 수 있게 하고, 다른 프로젝트는 팀 영역에 자체 권한을 주며, 또 다른 프로젝트에는 다른 프로젝트에 없는 역할이 있습니다. 웹 클라이언트는 한 번에 한 프로젝트 영역의 권한만 보여 주므로, 이러한 차이를 찾으려면 같은 화면을 나란히 열고 역할별로 비교해야 합니다. Permissions Comparison은 이를 대신 읽고 다른 점만 보여 줍니다.

해결하는 문제

• 같은 템플릿으로 만든 프로젝트 영역의 권한이 더 이상 일치하지 않지만, 어디가 다른지 아무도 모릅니다.
• 액세스 검토를 위해 모든 프로젝트 영역의 모든 역할을 수작업으로 확인해야 합니다.
• 팀 영역이나 반복이 역할에 프로젝트 영역보다 많거나 적은 권한을 눈에 띄지 않게 부여합니다.
• 문서화된 역할과 권한이 서버에 구성된 것과 같다는 것을 감사자에게 보여 줄 증거가 없습니다.

표준과 감사에 중요한 이유

규제 대상 및 안전 관련 개발을 위한 표준은 특정 도구를 거의 명시하지 않지만, 권한을 부여받은 사람만 통제된 기록을 변경할 수 있고 누가 무엇을 할 수 있는지 보여 줄 수 있기를 요구합니다. ELM 프로젝트 영역에서 그 통제는 역할 권한입니다. Permissions Comparison은 이것이 모든 프로젝트에서 같고 문서화된 프로세스와 일치하는지 확인하는 방법입니다.

• FDA 21 CFR Part 11(의료기기 및 제약 분야의 전자 기록): § 11.10(d)는 "limiting system access to authorized individuals"(시스템 액세스를 권한을 부여받은 개인으로 제한)를, § 11.10(g)는 권한 확인을 요구하여 권한을 부여받은 개인만 기록을 변경하거나 해당 작업을 수행할 수 있도록 합니다. 비교 결과는 프로젝트 영역별로 어떤 역할이 어떤 작업을 수행할 수 있는지 보여 줍니다.
• ISO/IEC 27001:2022: 부속서 A의 통제 항목 5.15 Access control, 5.18 Access rights, 5.3 Segregation of duties, 8.2 Privileged access rights. 접근 권한은 정기적으로 검토해야 하고, 상충되는 직무는 분리해야 합니다. 예를 들어 요구사항을 작성하는 역할과 이를 승인하는 역할입니다. Excel 보고서는 무엇을 언제 검토했는지 기록합니다.
• ISO 26262, Automotive SPICE, DO-178C, IEC 62304: 네 가지 모두 요구사항 같은 작업 산출물의 구성 관리와 변경 관리를 요구합니다(ISO 26262 Part 8, Automotive SPICE의 SUP.8 및 SUP.10, DO-178C 섹션 7, IEC 62304 조항 8). DOORS Next에서는 어떤 역할이 아티팩트를 수정하고, 기준선을 만들고, 변경 사항을 전달할 수 있는지가 그 통제의 일부입니다. 역할이 프로세스에 기술된 것보다 더 많은 것을 허용하는 프로젝트는 전형적인 감사 지적 사항입니다.

심사원은 프로젝트 일부를 표본으로 살펴보고 각 프로젝트에서 같은 프로세스를 기대합니다. 심사 전에 모든 프로젝트 영역을 참조 프로젝트와 비교하면 차이를 먼저 확인할 수 있습니다.

이점

• 모든 차이를 하나의 목록으로: 역할, 역할의 순서와 카디널리티, 한쪽에서는 허용되고 다른 쪽에서는 허용되지 않는 각 권한을 프로젝트 영역, 팀 영역, 그리고 원하면 타임라인과 반복에 대해 보여 줍니다.
• 원본 하나, 대상 여러 개: 참조 프로젝트 영역 하나를 같은 애플리케이션의 최대 25개 다른 프로젝트 영역과 비교할 수 있습니다.
• 모든 ELM 애플리케이션에서 작동: DOORS Next, Workflow Management(EWM), Test Management(ETM), Global Configuration에서 ELM Mini Dashboard로 사용합니다.
• Excel 보고서: 전체 권한 매트릭스를 포함하여 액세스 검토나 감사 파일에 바로 사용할 수 있습니다.
• Read only(읽기 전용): 위젯은 읽기만 하며 권한을 절대 변경하지 않습니다.

사용 방법

1. Settings에서 팀 영역을 비교할지(처음에는 켜짐), 타임라인과 반복을 비교할지(처음에는 꺼짐) 선택합니다.
2. Compare에서 Application(애플리케이션)을 선택합니다. From은 원본입니다. DOORS Next 대시보드에서는 열려 있는 프로젝트로 시작하며, Change로 다른 프로젝트 영역을 고를 수 있습니다.
3. To에서 Add를 클릭하고 최대 25개의 프로젝트 영역을 선택한 다음(검색, Select all, Show archived가 도움이 됩니다) Apply를 클릭합니다.
4. Compare를 클릭합니다. 결과 블록에 범주별 또는 대상별 차이 수와 읽을 수 없었던 대상이 Retry와 함께 표시됩니다.
5. Differences에서 대상이 여러 개이면 대상을 고른 뒤 Roles 또는 Permissions를 선택합니다. 권한은 Author / Team area: Business Recovery처럼 역할과 수준별로 묶입니다. 행을 클릭하면 양쪽 내용을 볼 수 있습니다.
6. 결과 블록의 Export to Excel을 클릭하여 전체 비교 결과를 저장합니다.

참고 사항

• 역할은 ID로, 그다음 이름으로 대응되므로 이름이 같고 ID가 다른 역할은 같은 역할로 간주됩니다. 역할이 여러 개인 사용자는 해당 권한을 허용하는 첫 번째 역할의 권한을 받기 때문에 역할 순서도 비교합니다.
• 위젯은 역할과 그 권한을 비교하며, 누가 그 역할을 가지고 있는지는 비교하지 않습니다. 어떤 사용자가 어떤 역할을 가지고 있는지는 User Audit에서 볼 수 있습니다.
• 팀 영역, 타임라인 또는 반복에서 한쪽만 역할에 자체 권한을 부여한 경우, 긴 권한 차이 목록이 아니라 한 행으로 보고됩니다.
• 주요 활용 시점: 감사나 심사 전, 프로세스 템플릿을 변경한 후, 템플릿으로 새 프로젝트를 설정할 때.
• 위젯이 프로젝트를 규정에 맞게 만들어 주지는 않습니다. 권한이 문서화된 프로세스와 일치하는지 확인할 사실과 증거로 보관할 보고서를 제공합니다.