Role Based Access Control
Role Based Access Control (RBAC) is een methode waarmee op een effectieve en efficiënte wijze de toegang tot informatiesystemen kan worden ingericht.
Inhoud |
[bewerk] Methode
Kenmerk van RBAC is dat individuen niet rechtstreeks worden geautoriseerd in informatiesystemen, maar dat ze uitsluitend rechten krijgen op basis van een vorm van groepslidmaatschap, op basis van de rol die ze hebben binnen een organisatie of bedrijfsproces. Ook de permissies op objecten/functies in informatiesystemen kunnen worden gegroepeerd in rollen.
Door het koppelen van de rol van de gebruiker in de organisatie aan een rol in een informatiesysteem, is het eenvoudig om de effectieve rechten van een gebruiker te bepalen. Het daadwerkelijk toekennen van rechten en permissies aan een gebruiker en het verstrekken van gerelateerde objecten (tokens en dergelijke) heet provisioning.
In het kader van RBAC trajecten wordt binnen organisaties een overzicht van de gebruikte rollen opgesteld middels de techniek van role-mining.
[bewerk] Voorbeeld RBAC
Bob vervult de rol van baliemedewerker bij een bank.
Het CRM-systeem kent de rol klantcontactbeheer
De organisatierol baliemedewerker wordt gekoppeld aan de informatiesysteemrol klantcontactbeheer. Daarmee verkrijgt Bob automatisch de rechten die nodig zijn om de CRM functie van klantcontact te kunnen uitvoeren.
Op zich levert deze inrichting geen besparing op. Maar als nu ook Alice wordt benoemd als baliemedewerker, dan verkrijgt ook zij automatisch de rechten die nodig zijn om de CRM functie van klantcontact te kunnen uitvoeren. En als Bob van rol wisselt doordat hij niet langer baliemedewerker is maar de functie van hypotheekadviseur krijgt, dan raakt hij ook automatisch de klantcontactbeheer functies kwijt.
[bewerk] Standaarden
- Het Amerikaanse NIST heeft een standaard voor RBAC gedefinieerd. De meeste producten die op de markt zijn verschenen zijn in staat om de standaard te volgen.
[bewerk] Alternatieve toegangscontrole methodieken
RBAC is niet een model om de autorisaties op een dynamische wijze toe te kennen. Om dat te realiseren kan de methode van Rule Based Access Control of Lattice Based Access Control worden toegepast. Deze beide vormen van toegangscontrole zijn ook onder de noemer Mandatory Access Control te vatten.
Ook Discretionary access control is een vorm van toegangscontrole, waarbij de eigenaar van een object zelf bepaald wie welke toegangsrechten mag uitoefenen.
[bewerk] Bekende RBAC hulpmiddelen
- BHOLD Company
- BMC Control SA en IdM
- CA eTrust
- HP Select Access
- IBM TAM
- Microsoft Authorization Manager (Azman)
- Novell Access Manager
[bewerk] Zie ook
- Bell-La Padula vertrouwelijkheidsmodel
- Biba integriteitsmodel
- Take-Grant Model
- The Clark-Wilson integriteitsmodel
- Graham-Denning Model
- Security Enhanced Linux
[bewerk] Externe links
- Role Based Access Controls at NIST - De RBAC standaard van het NIST
- [1] - Handreiking Identity Management van het Genootschap van Informatiebeveiligers (GvIB)
