Il controllo degli accessi in base al ruolo (RBAC) consente agli amministratori di rete di personalizzare i livelli di accesso degli utenti in base ai loro ruoli all'interno dell'organizzazione, mentre il controllo degli accessi in base alle regole (RuBAC) consente l'accesso subordinato alle persone che aderiscono a condizioni specifiche. Utilizzando un sistema di controllo degli accessi basato su regole predefinite, gli amministratori di sistema possono, ad esempio, concedere l'accesso a determinate risorse di rete solo durante il normale orario lavorativo.
Spesso indicato come controllo basato sugli attributi, RuBAC garantisce agli utenti vari livelli di accesso ai sistemi in base a criteri prestabiliti, indipendentemente dal loro ruolo o posizione all'interno dell'organizzazione. Questa spiegazione viene da Joe Dowling, vicepresidente della sicurezza informatica, dell'identità e della gestione degli accessi presso Dell Technologies.
Oltre al controllo dell'accesso alla rete, RuBAC può essere utilizzato in vari contesti, come il controllo dell'accesso a file e directory o il controllo dell'accesso alle applicazioni, afferma Alaa Negeda, senior solution architect e CTO presso AlxTel, un fornitore di servizi di telecomunicazione. Aggiunge che RuBAC può anche essere integrato con altre misure di sicurezza come firewall, sistemi di rilevamento delle intrusioni e protezione tramite password.
Le impostazioni RuBAC sono definite dall'estensione del controllo fornito agli utenti in base ai loro ruoli specifici all'interno di un'organizzazione. Alexander Marquardt, responsabile globale della gestione delle identità e degli accessi presso il fornitore di software di analisi SAS, sottolinea che RuBAC consente il controllo degli accessi in base a criteri, condizioni o vincoli discreti. L'approccio è esplicito, molto granulare e si concentra su singoli attributi o caratteristiche di un soggetto, oggetto o ambiente operativo.
Jay Silberkleit, CIO di XPO, un fornitore di servizi di trasporto e logistica, ritiene che RuBAC sia la scelta ottimale per le organizzazioni che cercano un metodo di accesso alla rete che offra la massima personalizzazione e flessibilità. Osserva che le regole possono essere rapidamente modificate senza modificare la definizione generale della struttura organizzativa.
Granularità e chiarezza sono i principali vantaggi dell'utilizzo di RuBAC, osserva Marquardt. Non c'è ambiguità quando si esamina una regola, poiché consente o nega esplicitamente l'accesso a un oggetto o un'operazione specifica.
Il maggiore controllo e l'adattabilità sono anche i motivi per cui molte organizzazioni scelgono RuBAC. Secondo Marquardt, il controllo degli accessi basato su regole è un modello ideale per le aziende che richiedono regole ferme ed esplicite.
RuBAC offre agli utenti una flessibilità di accesso utente praticamente illimitata, con un sovraccarico minimo. Come spiega Silberkleit, un piccolo insieme di regole può essere adattato per facilitare un'ampia base di utenti. L'approccio consente di testare o sperimentare diversi livelli di accesso alla rete tra un sottoinsieme di utenti. Avere un controllo così capillare sull'accesso aiuta le organizzazioni a rimanere agili e sicure, aggiunge.
Il principale svantaggio di RuBAC è il livello di supervisione e gestione necessari per stabilire, configurare, configurare e testare le regole. Le aziende devono anche affrontare la sfida di garantire che le autorizzazioni rimangano accurate e affidabili man mano che i ruoli degli utenti si evolvono. Le organizzazioni devono iniziare con una strategia chiara per impostare e gestire RuBAC, avverte Dowling di Dell.
Marquardt sottolinea che gli adottanti possono avere difficoltà a scrivere eccezioni a soggetto singolo o a oggetto singolo per regole ampiamente applicate, tenere traccia di tali eccezioni e riportare accuratamente i diritti e le autorizzazioni effettivi.
W. Curtis Preston, chief technical evangelist di Druva, identifica il noioso processo di installazione e le continue attività di manutenzione di RuBAC come i suoi principali svantaggi, soprattutto se è coinvolta l'autenticazione a più fattori (MFA). Tuttavia, sostiene che, sulla base delle attuali conoscenze su attacchi informatici e violazioni, è un piccolo prezzo da pagare per la tranquillità e la protezione dei dati di un'organizzazione.
La personalizzazione delle regole RuBAC può essere impegnativa, riconosce Negeda. Ad esempio, potrebbe essere necessario definire le autorizzazioni esatte richieste per ruoli specifici oppure potrebbe essere necessario specificare il nome utente o il nome del gruppo associato a un determinato ruolo.
Negeda afferma anche che il ridimensionamento di RuBAC può essere difficile. Creare e mantenere regole per un gran numero di risorse può essere una sfida, così come determinare quali utenti o gruppi dovrebbero avere accesso a quali risorse.
Esistono numerosi metodi per distribuire RuBAC, con l'utilizzo di un database per archiviare le regole come strategia più popolare, secondo Negeda. Una volta create, le regole possono essere facilmente aggiunte o aggiornate dagli amministratori.
Per ridurre al minimo la confusione e le interruzioni, Dowling consiglia alle organizzazioni che stanno valutando una transizione a RuBAC di iniziare analizzando i propri requisiti aziendali in corso e il sistema di classificazione dell'accesso alla rete esistente per determinare se l'accesso basato su regole o ruoli è il modello più adatto. Se RuBAC è la scelta ideale per la tua organizzazione, dovrebbero essere condotte interviste complete con gli imprenditori del sistema per stabilire il set di regole meno complesso da seguire.
Con l'ascesa di piattaforme di sviluppo low-code e no-code come AppMaster , l'implementazione di sistemi di controllo degli accessi è diventata ancora più critica per la protezione di applicazioni e dati. Che si tratti di un approccio basato su ruoli, regole o ibrido, trovare il giusto metodo di controllo degli accessi per la tua organizzazione ti aiuterà a mantenere un ambiente di rete sicuro e funzionale.
