Confidentialité et ergonomie, personnaliser l'accès au SIRH avec RBAC

Exemple d'application au projet et analyse critique de la mise en oeuvre

Pour l'expert dossier administratif site, nous obtenons une synthèse des actions fonctionnelles :

ï Embauche et nomination (y compris affectation hiérarchique) : UG hiérarchique, grade, données individuelles...

ï Affectation budgétaire : UG budgétaire

ï SC1GAPRH : Mise à jour des données individuelles et changement d'affectations sur le site

ï Mutation de l'agent (entre sites AP-HP)

ï Cessation de fonction et retraite

ï Variante, temps de travail

ï ...

ï Gestion des absences

ï Consultation des mises à dispositions

ï Requêtes et états en lien avec ce rôle

Pour chacune de ces actions fonctionnelles, il nous faut identifier les pages et les données accédées par ces pages

Tableau 12 : Exemple de mise en oeuvre d'un tableau des permissions par scénario

Scénario	Catégorie d'acteur	Structure de données			Action Fonctionnelle	Droit d'accès aux données
		Dossiers Agent	Dossiers Réglementation	Dossiers Structures		Mode d'accès	Actions
SC1GAPRH	Expert RH	* identification Agent * Famille * Coordonnées * Documents * Véhicules * Mensurations * Médical * Handicap	* Règles identifiant * liens familiaux * Codif. Adresse * Codif. Document * Codif.véhicule * Table mensuration * Codif. Médicale * Codif. Handicap	* toutes	Données individuelle	Ecriture	Autorisé sur population
...

5.3.3 Identification des contraintes de permissions

Nous entrons dans le coeur du sujet. Car c'est une des parties les plus difficiles du processus d'ingénierie des rôles. La première étape est de définir quel types de contraintes peut être formalisées. Deux des types les plus répandues dans l'industrie sont la séparation des droits et les cardinalités. D'autres types de contraintes peuvent exister comme nous l'avons vue dans la Figure 26 : Taxonomie des contraintes contextuelles d'après (Saidani et Nurcan 2007), comme des contraintes d'horaires, d'affectations ou de séquences de tâches. Nous ne modéliserons que les contraintes implémentées dans le dispositif R-BAC mis en place. C'est-à-dire que dans notre SIRH HRA suite 7 sont implémentés des contraintes d'accès aux données et d'accès aux processus pour ne garder que les plus élémentaires et ne pas alourdir notre propos.

Figure 36 : sous-processus de définition des contraintes

Les contraintes sont identifiées avec les experts du domaine, en particulier avec l'encadrement qui définit les règles d'accès aux informations, c'est-à-dire les données plus les pages permettant l'accès à ces données et le type d'accès (consultation, mise à jour ou mise à jour avec validation du N+1). Ces personnes sont (ou devraient) être capable d'indiquer les règles de confidentialités d'accès aux données par rapport à l'organisation de l'entreprise et plus précisément la structure hiérarchique des unités organisationnelles.