hozzáférésszabályozást

A hozzáférésszabályozás a biztonság területének alapfogalma, amely meghatározza, ki férhet hozzá adott erőforráshoz, milyen műveleteket végezhet, és milyen feltételek mellett. Célja a bizalmaság, integritás és availabilitás védelme azáltal, hogy megakadályozza a jogosulatlan hozzáférést.

Az alapfogalmak közé tartozik az alany (felhasználó vagy folyamat), az erőforrás (fájl, adatbázis, hálózati eszköz stb.), a jogosultságok és a szabályozó politikák. Az azonosítás és hitelesítés után következik az autorizáció, vagyis a hozzáférés engedélyezésének folyamata és a műveletek megengedése.

A hozzáférés-ellenőrzési modellek közé tartoznak a DAC (discretionary access control), MAC (mandatory access control), RBAC (role-based access control) és ABAC (attribute-based access control). A DACnál az egyes felhasználók önállóan adhatnak jogosultságokat; a MAC kötelezően érvényesíti a szervezet által megadott szabályokat; az RBAC a szerepekhez rendelt jogosultságokat használja; az ABAC pedig attribútumok alapján hoz döntéseket.

Megvalósítási szempontból a rendszerek lehetnek központosítva vagy decentralizáltak, és eszközként alkalmazhatóak ACL-ek, jogosultság-készletek (capability), policy engine-ek és IV. generációs identitás- és hozzáférés-kezelő rendszerek (IAM). A felhőben gyakori a központi identitás-kezelés és szabályozás integrálása.

Fontos elvek közé tartozik a legkisebb jogosultság elve, a szükségesség (need to know), a feladatmegosztás és a nyomon követhetőség, beleértve az auditálást és a logolást. A hozzáférésszabályozás része a kockázatkezelésnek és a megfelelésnek számos informatikai és fizikai környezetben.

Jellemző alkalmazási területek: informatikai rendszerek, hálózatok, felhőalapú környezetek, alkalmazások és fizikai hozzáférés. Szabványok és keretrendszerek például az ISO/IEC 27001, NIST SP 800-53 és kapcsolódó útmutatók, amelyek iránymutatást adnak a hozzáférés-kezelés követelményeinek kidolgozásához és értékeléséhez.