Özet. Anlamsal web, web içeriklerinin diğer yazılımlar tarafından anlaşılabilir, yorumlanabilir, kullanılabilir olmasını ve bilginin paylaşılmasını amaçlamaktadır. Anlamsal web'de bilginin güvenliği erişim denetimi ile sağlanmaktadır. OBAC(Ontology Based Access Control - Ontoloji Tabanlı Erişim Denetimi) verinin anlamsal tanımının olduğu ontolojilere erişim denetiminin sağlanmasında kullanılan bir modeldir. RBAC( Role Based Access Control - Rol Tabanlı Erişim Denetimi) ise, rol tabanlı erişim denetimini sağlamaktadır. İlişkisel veritabanlarında RBAC, ontolojilerde ise OBAC kullanılmaktadır. İnsan Kaynakları (İK) uygulamalarında hem RBAC hem de OBAC kullanılmaktadır. Bu çalışmada, her iki yaklaşımın karışımı olan HAC (Hybrid Access Control- Melez Erişim Denetimi) altyapı mimarisi geliştirilmeye çalışılmıştır. İK alanında, OBAC ve RBAC birleşimiyle oluşan melez veri tabanlı bir erişim çerçevesi olarak HAC geliştirilmektedir. Bu çerçeveye erişim için, yöntem ve araç yazılım içeren bir yazılım mimarisi sunulmaktadır. Böylelikle, melez veri ile roller yönetilerek İK alanında veritabanı yönetimine bir çözüm getirilmiş olacaktır.
Open Standards), İK profesyonelleri ve teknoloji uzmanları tarafından geliştirilmiştir.
Böylece yeni standartlar oluşturularak İK alanında veri bütünleştirmesi
sağlanmaktadır[
Oluşturulan standartlar doğrultusunda, paylaşılan ve makinalar tarafından
anlaşılan bilgiye erişimin güvenliği sağlanmış olmalıdır. Bilgi teknolojilerinde
güvenlik, Erişim Denetimi ile sağlanmaktadır. Erişim çerçevesi hangi kullanıcının
hangi kaynağa hangi erişim yetkisinde ulaşabileceğinin sınırlarını çizmektedir. Erişim
çerçevesi kapsamında, kullanıcılara verilen hakların gözden geçirilmesi,
kullanıcıların belli dosyalara erişiminde yazma, okuma gibi izinlerinin yönetilmesi ile
bilginin ve kaynakların güvenliği sağlanmaktadır. Anlamsal web ile makinelerin diğer
makinelerle iletişimi sağlanarak, bilginin paylaşılması ve yeniden kullanılabilir olması
amaçlanmaktadır[
Erişim denetiminde kaynağa olan erişimin kısıtlanması, farklı düzeneklerle
sağlanabilmektedir. RBAC ile kaynağa erişimde izin ve yetkiler kullanıcının
kendisine değil, rollere verilmektedir. Dolayısıyla, bir kullanıcı rollerle
ilişkilendirildiğinde, rollere verilen yetki ve izinlere sahip olur [
Bu çalışmada, veriye ulaşmada anlamsal bütünlüğün sağlanabildiği ontoloji tabanlı erişim denetimi (OBAC) ile, ilişkisel model olarak rol tabanlı erişim denetimi (RBAC) birleşimi sonucu oluşan Melez Veri Tabanlı erişim kontrolü için bir mimari önerisi sunulmaktadır. Böylece, rollerin yönetimi ve veritabanı yönetimine getirilen çözüm mimarisi anlatılmış olacaktır. İkinci bölümde bu konuda yapılan çalışmalarda ve araştırmalarla ilgili geniş bilgi verilmektedir. Üçüncü bölümde melez veri tabanlı erişim için İK senaryosu dahilinde bir yapı önerilmektedir. Son bölümde ise konu ile ilgili sonuç ve önerilere yer verilmiştir. 2
Ontolojiler bilgi gösteriminin daha güçlü formu olarak kavramlar arasındaki ilişkileri
ve kısıtları açıklamaktadır. İnsan kaynakları alanı için oluşturulan ontolojiler,
yetkinlik, iş tanımı gibi mutlak kavramlar ve bu kavramların birbiriyle olan ilişkilerini
içermektedir. Tipik işealım süreçleri ve aday önerileri anlamsal web aracılığıyla
yapılabilir hale gelmiştir. HR-XML Konsorsiyum aracılığıyla geliştirilmiş olan
HRXML işaretleme dili, insan kaynakları ontolojisi için 75’ten fazla birbirinden bağımsız
XML şema içermektedir [
Ecco projesi İtalyan endüstri ortakları (AICA ve Federcomin) ve Milan Teknik
Üniversitesi tarafından İtalya hükümeti desteği ile geliştirilmiş bir projedir. Yetenek
ve iş profilleri konusunda şeffaflık, karşılaştırılabilirlik, bilgi ve yönlendirme
sağlanması amaçlanmıştır. Ecco projesi ulusal ve uluslararası ICT( Information and
Communication Technologies) yetenek ve iş profilleri yaklaşımlarının analizleriyle
başlamıştır. Ecco projesinde yetenek tanımı için bilgi (knowledge), bilgi nesnesi
(knowledge object), birşeyi yapabilmek anlamına gelecek şekilde yetenek (skill), belli
bir alana ait yetenek (competence), performans ve iş profili gibi ana tanımlamalar
bulunmaktadır.[
Kowien (Kooperatives Wissensmanagement in Engineering-Netzwerken/ Cooperative
Knowledge Management in Engineering Networks) bilgi tabanlı sistem alanında ortak
bir araştırma projesidir. Kowien ontoloji tabanlı bilgi sistemini, çalışanların
yeteneklerine göre organizasyondaki yerini belirlemek için kavramsallaştırmakta,
geliştirmekte ve değerlendirmektedir. Bu amaca ulaşmak için kurumun tüm ilgili bilgi
kaynakları çalışanların yetenekleri ile ilgili bilgi tabanı oluşturmak için
kullanılmaktadır[
Anlamsal web öncesi ve sonrası geliştirilmiş olan erişim denetimi düzenekleri şunlardır: 2.3.1
DAC politikasında kullanıcılar diğer kullanıcılara izin ve yetki verir, yani erişim
denetimi kullanıcı merkezlidir. Bu şekilde dağınık veri üzerinde erişim kontrolü
yönetilebilir. DAC politikasında bir veya birden fazla kaynağa erişim hakkı olan
kullanıcı, bir veya birden fazla özneye bu kaynağa erişim ve işlem yapmak için yetki
verebilir. [
MAC merkezi bir yetkili tarafından belirlenen erişim kontrolü politikasını kullanarak
kaynaklara erişimi kısıtlar. Sistemdeki merkezi yetkili özne ve kaynakları belli
güvenlik seviyelerine göre sınıflandırmakla sorumludur. Kaynaklar gerekli kaynağa
erişim için oluşturulmuş güvenlik seviyelerine atanmaktadır. Aynı erişim seviyesine
sahip veya daha üstün erişim seviyesinde olan özneler kaynağa erişebilmektedir[
MAC ile hiyerarşik kontrol yapısına göre erişim gerçekleşmektedir. Genellikle
savunma sektöründe kullanılmaktadır [
ABAC, sistem tarafından bir istek tarafından sunulmadan önce öznenin bilinemediği
dağıtık sistemler için tasarlanmıştır. ABAC, özne ve kaynağın özelliklerini yani
özniteliklerini baz alarak kanyaklara erişim hakkını verir veya kaynaklara erişimi
reddeder[
RBAC belli bir gruba ait kullanıcıların rolleri doğrultusunda yani ortak sorumluluğa
ve ya göreve sahip oluşlarına göre kaynağa erişimi sınırlandırmaktadır. Kullanıcılara
uygun roller atandıktan sonra aynı kaynağa erişim farklı rollere sahip kullanıcılar
tarafından sağlanabilmektedir[
Rol yetkilendirmesi: Öznenin aktif rolü özne için yetkilendirilmiş olmalıdır.
İşlem Yetkilendirmesi: Öznenin aktif rolüne ilişkilendirilmiş işlem yetkisi
doğrultusunda ancak özne işlem yapabilir[
Örneğin, insan kaynakları sistemi düşünüldüğünde insan kaynakları verilerine erişebilecek roller, insan kaynakları departmanında çalışan uzman ve yetkililer, organizasyondaki tüm çalışanlar, iş başvurusunda bulunan adaylar düşünülebilir. Eğer kullanıcı İK Uzmanı rolündeyse kullanıcı çalışanların özlük, eğitim, sertifika, kimlik gibi bilgilerine erişebilir. Kullanıcı tüm çalışanlar rolündeyse bu çalışanlar sadece kendi bilgilerini görebilir, yetkili olmadıkları için başka çalışanların bilgilerine erişemezler.
OBAC kaynaklara erişim denetimi ve bu kaynaklara erişecek öznenin bilgilerinin
ontoloji dillerinden faydalanarak sistem davranış biçiminin belirtildiği erişim denetim
düzeneğidir[
İzin: Varlığın yapabileceğidir.
Yasak: Varlığın yapamayacağıdır.
Zorunluluk: Varlığın yapması gerekendir.
Özel İzin: Varlığın belli bir süre içinde yapabileceğidir [
Anlamsal web servislerinin ontoloji tabanlı erişim denetimini için yapılan bir
çalışmada, ontolojinin kullanımı erişim denetimi karar alma mekanizması için
muhakeme yeteneği sağlamakta ve erişim denetim bilgilerinin otomatik olarak
aranması, sorgulanması ve bulunmasına izin vermektedir [
Erişim kontrolünde son yıllarda yeni politika dilleri oluşturulmuştur. XACML bu
dillerden biridir[
ROWLBAC (RBAC in OWL) erişim politikasında OWL web ontoloji dili ile
RBAC (Rol bazlı erişim denetimi) bir arada kullanılmaktadır. RBAC de geçen özne,
eylem ve obje gibi ana tanımlar OWL diliyle modellenmektedir. [
OWL (Web Ontology Language – Web Ontoloji Dili) www (world wide web)
üzerinde ontolojilerin paylaşımı, yayınlanması için kullanılan anlamsal işaretleme
dilidir. RDF (Resource Description Framework – Kaynak Tanımlama Çerçevesi)
sözlüğünün genişletilmişidir ve DAML+OIL web ontoloji dilinden türemiştir[
ROWLBAC kuralları SWRL (Semantic Web Rule Language - Anlamsal web
Kural Dili) ya da N3(Notation 3) dilinde belirtilebilir. ROWLBAC sadece
yetkilendirme politikasını desteklemektedir[
Önerilen Mimari Yapı
Uygulama için yapılan senaryoda kurum bünyesinde İK bölümünde çalışanlar, tüm departmanlar dahil tüm çalışanlar ve kurum dışı olup kurumda çalışmaya adaylar ve bu rollere verilen yetkilerin durumu düşünülmüştür.
Yetkilendirme politikası örneği olarak: “ İnsan Kaynakları Uzmanı, çalışanların özlük bilgilerini kendi çalışma istasyonu bilgisayarından erişebilir. ” Kısıtlama politikası örneği olarak: “ İnsan Kaynakları Uzmanı 2 aylık çalışma süresi dolmadan çalışanların performans bilgilerini kendi çalışma istasyonu bilgisayarından erişemez. ”
İK uygulaması içinde çalışanların bilgilerinin tutulduğu, eğitim tanımlarının yapıldığı, işealım ilan açma ve aday özgeçmiş havuzunun incelenebildiği ayrı modüller bulunabilir. Uygulama senaryosu ile ilgili olarak mevcut sistemde kullanıcıların İK uygulaması modüllerine okuma, silme, güncelleme ve kaydetme yetkileri merkezi bir bir yönetim sistemi ile verilmektedir. Böylelikle çalışanların bilgisinin tutulduğu veritabanı alanlarının yetki sistemi ile güvenliği sağlanmaktadır. Örneğin, işe yeni başlayan İK uzmanları, deneme süreleri boyunca, diğer çalışanların bilgilerini sadece görüntüleme ve listeleme hakkına sahip olabilir. İK Uygulaması modülündeki her ekran görüntüsü için listeleme, yeni kayıt, güncelleme ve silme hakkı kullanıcılara verilebilir. Verilen hak ve yetkiye göre veritabanında ilgili tablolarda değişiklikler yapılır.
İK uygulaması içerisinde ise işealım süreçlerinde doğru adayın işealımının gerçekleştirilmesi önemlidir. Kurumlarda kadro eksiklikleri sebebiyle, işalım ilanı açılır. Açık olan kadro için açılan ilana adaylar başvuru yapar. Doğru aday işe alınmadığında, çalışana verilen eğitimlerin, çalışanın süreç içinde işi öğrenmesi için yapılan çalışmaların, yeni bir aday arama işlemiyle tekrar edilmesi durumundan dolayı maliyet artmaktadır. Başarılı bir işealım süreci ile, kurum içi çalışan devir hızı düşer. Kurum içi işealım devir hızının düşmesi ise, maliyetlerin azalması demektir. Sistemde adaylar, işe başlama potansiyeli olan kişiler anlamına gelmektedir. Sistemdeki bir diğer rol ise, adayların işealımını gerçekleştirecek İK bölümü çalışanlarıdır. İK bölümü çalışanları biriken özgeçmiş havuzu içerisinden doğru adayı bulup işe alma işlemini gerçekleştirebilmelidir.
Ontolojilerle hangi kişilerin hangi kadrolara uygun olup olmadığı aday-kadro eşlemesi ile yapılabilir. Açık olan kadro için çıkılan ilana uygun adayların sistemdeki biriken özgeçmiş havuzu içerisinden eşlemesinin yapılması işleminde ontoloji çatısı kullanılabilir. Yapılan profil eşleştirmesi ile doğru adayların işealımı sağlanabilir. Profil eşleştirmesi ile kadronun gerektirdiği eğitim, askerlik, sertifika, sınav, iş tecrübesi, kişisel özellikler gibi kriterler adayların özgeçmişleri üzerinde otomatik olarak karşılaştırılarak sistemde işealım için önerilebilir. İlişkisel veritabanında tutulan işealım süreci ile ilgili kayıtların oluşturulan bu ontoloji çatısı ile anlaşabildiği OBAC ve RBAC’in bir araya geldiği mimari ile İK uygulaması için melez bir mimari ortaya çıkmaktadır. Böylelikle sadece OBAC ya da sadece RBAC’in sınırlı olan özellikleri bir araya gelerek daha güçlü bir mimari ortaya çıkmaktadır. Ortaya çıkan melez mimarinin erişim denetimi ve güvenliği HAC ile çözümlenmektedir. Senaryo dahilinde önerilen HAC yapısı Şekil-1’de görülmektedir.
Şekil 1: Senaryo dahilinde önerilen HAC yapısı. 3.2
Önerilen Mimari Bu bölümde, çalışma kapsamında geliştirilen RBAC ve OBAC’in karışımından oluşan melez model ve bu modelin geliştirmesi için gerekli olan araçların bilgileri tanıtılmaktadır.
Şekil-2’de önerilen melez mimarinin ilk fazı gösterilmektedir. RBAC’de ilişkisel veritabanı ile bağlantı kurularak rol- yetki ve kullanıcı- yetki atamaları, rol seviyesinde ontolojide bulunan profille eşleştirilmektedir. Böylelikle rol- profil eşleştirmesi sağlandıktan sonra kullanıcılar, sadece RBAC’deki statik rolleri değil OBAC’deki dinamik profile ait yetkilere de sahip olacaklardır.
Her iki erişim denetimi politikasının melez bir şekilde bir araya getirilmesi ile
kullanıcıların yetkileri, RBAC’den gelen izin ve yasak politika nesnelerine
OBAC’den gelen zorunluluk ve özel izin politika nesnelerini ekleyerek genişletilmiş
olacaktır. Aynı zamanda OBAC ile istek, yetki aktarımı, iptal ve yetki geri alma,
konuşma edimlerine sahip olunulacaktır.
Şekil 2 : RBAC ve OBAC melez modeli [
OWL (Web Ontoloji Dili) : OWL ontolojileri tanımlamak için kullanılan bir anlamsal web dilidir. RDFS, DAML+OWL, OWL anlamsal web dilleri içinden bu çalışmada OWL kullanılmaktadır.Çalışmada kullanılacak İK-işealım ontolojisinde aday rolünden örnek verilecek olursa aşağıdaki şekilde işealım ontolojisi incelenebilir. Protégé : Bir ontoloji geliştirme editörüdür. Apollo, OntoStudio, Swoop, TopBraid, gibi editörlerin arasından bu çalışmada Protégé kullanılmaktadır. Protégé kullanılmasının sebebi, grafiksel arayüz olarak kullanım kolaylığının olması, açık kaynak kod uygulaması olmasıdır. İK- İşealım ontolojisinden bir kesit almak gerekirse, Protégé’in kullanıcı dostu arayüzü ile aşağıdaki gibi örnek bir sınıf hiyerarşisi oluşturulmuştur.
Protégé, Java tabanlı ücretsiz, açık kaynak kodlu, dosya ve veritabanı seviyesinde
ontolojiyi saklama özelliği ve grafiksel arayüzü ile kullanımının kolaylığı ve hızlılığı
açısından tercih edilmektedir. Proje kapsamında Şekil-3’tekine benzer bir ontoloji
Protégé ile geliştirilecektir.
Şekil 3 : Aday XML şeması örneği [
764 Örneğin, varsa diğer iki ontolojiyi birleştirmek için, yani melez veri üretmek için Protégé’deki “SameAs” yapısı kullanılacaktır. “SameAs” özelliği iki sınıf örneğinin (Protégé uygulamasında individuals terimlerine karşılık gelmektedir.) birbirine eş olduğunu göstermek için kullanılır. Bir diğer deyişle iki URI referansının aynı şey olduğunu göstermektedir.
Oracle 12c : Şekil-1 deki melez veri uygulaması için yapılan mimari önerisinde
kullanılacak İK ontolojilerin saklanması için Oracle 12c kullanılabilir. İlişkisel
anlamda tutulan veritabanı ile OWL dilinde tutulan ontolojilerin bir araya gelmesiyle
oluşan verinin saklanmasında Oracle 12c ile veri analizi ve saklanması için ileri
seviyede RDF anlamsal grafiklerinden faydalanılabilecektir. Oracle veritabanı
RDFS++, OWLSIF, OWL 2 RL ve OWLPrime kütüphanelerini desteklemektedir.
[
Jena, hangi ontoloji dili kullanıldığından bağımsız ontoloji uygulamaları
geliştirmeleri için uygun programlama arayüzü sağlamayı amaçlamaktadır. Jena
Ontoloji API ile OWL sınıfları veya RDFS sınıfları gösterilebilir. Farklı gösterimler
için her bir ontoloji dilinde, sınıf ve özelliklerin listelendiği profil tanımları olmalıdır.
Profil, Jena’nın Model sınıfının daha genişletilmiş verisyonu olan ontoloji modeline
bağlanır. Model rdf verisindeki ifadelere erişmeye izin verir. Jena içerisinden ontoloji
ile çalışırken RDF üçlüleri olarak kodlanan duurm bilgileri RDF modellerin içerisinde
saklanır. Ontoloji API, ontolojilerin RDF sunumunda bir değişiklik yapmaz, daha
kolay program yazabilmek için sınıf ve metod kümeleri eklenebilmesini sağlar.[
ECLIPSE IDE JUNO : Eclipse üzerine proje geliştirirken Jena kütüphaneleri proje içine eklenecektir. Ontolojilere yeni nesneler eklemek ve varolan nesneleri sorgulayıp güncellemek için kurulmuş olan SPARQL sorgularını çalıştırmak amacıyla da kullanılacaktır. Eclipse ile Java dili kullanarak proje geliştirmek için Eclipse IDE sürümü olan Eclipse Juno kullanılabilir.
Sonuç ve Öneriler Çalışma kapsamında ilk defa olarak Melez Veri ile veritabanlarındaki verilere erişim konusuna bir yaklaşım getirilmeye çalışılmıştır. Bu kapsamda, kurum için merkezi bir üst ontoloji geliştirilmesi planlanmıştır. Bu ontoloji, melez veri modelinin tabanını oluşturmaktadır. Melez veri ontolojisi kapsamında, mevcut kurum içi işleyişte anlam teşkil eden her kavram (işlev, rol,iş nesnesi) tanıtılabilecektir. Yine çalışma kapsamında, ayrıntılı olarak anlatılan yazılım altyapısı, uygulama ile birlikte geliştirilecektir.
Uygulamada önerilen mimaride kullanılacak araçlar Şekil-6’da gösterilmektedir. Melez veri olarak Oracle 12c’de tutulan ilişkisel veritabanındaki bilgiler aynı zamanda Oracle 12c’nin anlamsal web desteği ile OWL ontoloji dilini desteklemesi ile yönetilmiş olacaktır. Ontoloji tarafında kullanılacak OBAC erişim çerçevesi için gerekli sorgular SPARQL sorgulama dili ile alınacaktır. APACHE JENA ile OWL ontoloji dili ile oluşturulmuş veriler ile ilgili kod yazılabilecektir. Aracın geliştirmesinde Eclipse kullanılırken Jena projesi oluşturularak, melez veri yönetimi Java programlama dilinde sağlanmış olacaktır.
Şekil 6 : Mimaride kullanılacak araçlar
Bu kapsamda yapılan çalışmalar ile ilgili ileride çalışmak isteyenlere bir öneri olarak, söz konusu çalışmaların, gelecekte bir ileri uygulaması olarak, NoSQL kullanarak da benzer yapılar geliştirilebilir.
Gómez-Pérez, Asunción, Jaime Ramírez, and Boris Villazón-Terrazas. "An Ontology for Modelling Human Resources Management based on Standards." Knowledge-Based Intelligent Information and Engineering Systems. Springer Berlin Heidelberg, 2007.