公开了一种控制对IT系统内的资源的访问的操作防火墙。该IT系统从一请求实体接收多个命令，并且每个命令请求对一资源的访问以便完成一功能，如由一过程所定义的那样。该操作防火墙对于每个接收到的命令确定在该接收到的命令、该接收到的命令的识别出的特征和所请求的资源之间的关系。响应于确定了所述关系，向该命令分配一状态，并确定该请求实体是否具有适当的授权级别以便在该资源上执行该命令。如果该请求实体不具有适当的授权级别，则拒绝对该请求资源的访问，并建议可执行的另一可选择的命令。