Rettighetsstyring

Rettighetsstyring er praksisen for å tildele, endre og trekke tilbake tilganger til systemressurser basert på identitet og behov. Hovedformålet er å sikre at rette personer har riktig tilgang til riktig ressurs ved riktig tidspunkt, samtidig som risikoen for misbruk, lekkasje og uautoriserte endringer reduseres. Rettighetsstyring utgjør kjernen i identitets- og tilgangsstyring (IAM) og omfatter politikk, prosesser og teknologiske verktøy for håndtering av tilgang gjennom hele livssyklusen.

Nøkkelelementer inkluderer identitetshåndtering, autorisasjon, tilgangspolicyer, leveranseprosesser, revidering og overvåking/logging. Vanlige modeller for tillatelser er rollenbasert tilgangskontroll (RBAC), attributtbasert tilgangskontroll (ABAC) og Discretionary Access Control (DAC); noen organisasjoner bruker policy-basert tilgangskontroll (PBAC) eller kombinasjoner. Prinsippet om minste privilegium og behov for kjennskap (need-to-know) er sentralt.

Livssyklus for rettigheter inkluderer provisioning av brukere og grupper, endring av tilganger ved rolleskifte eller behov, og deprovisioning ved opphør eller overgang. Regelmessige tilgangsgjennomganger og attestasjon av rettigheter bidrar til å oppdage over- eller underautorisasjon og støtte etterlevelse og revisjon.

Teknologi og praksis omfatter IAM-løsninger, identitetskilder som LDAP/Active Directory, samt standarder som SAML, OAuth 2.0 og OpenID Connect for autentisering og autorisasjon. Logg- og revisjonsdata som dokumenterer hvem som har hatt tilgang og når, er viktig for etterlevelse og hendelseshåndtering.

Utfordringer inkluderer kompleksitet i store organisasjoner, temporære tilgangsarrangementer, bruk av mange applikasjoner og behov for kontinuerlig overvåking. Beste praksis inkluderer tydelig policyutforming, automatisert provisioning/deprovisioning, periodisk attestasjon og klare ansvarsområder mellom forvaltere og sikkerhet.