rollenbasert

Rollenbasert tilgangskontroll, ofte forkortet RBAC, er en modell for tilgangsstyring der en bedrifts brukeres tilgang til data og systemer bestemmes av den rollen de har i organisasjonen. Tillatelser knyttes til roller, og brukere tildeles en eller flere roller. En rolle beskriver typiske oppgaver og ansvarsområder, for eksempel “Regnskapsfører” eller “IT-administrator”.

Viktige trekk ved RBAC er at tilgang ikke gis per individuell bruker, men per rolle. Når en brukers rolle endres, følger rettighetene naturlig med, noe som forenkler administrasjon og opprettholder konsistente tilgangsnivåer. RBAC legger ofte vekt på prinsippet om minste privilegium, slik at brukere bare har de rettighetene som er nødvendige for å utføre oppgavene.

Fordeler inkluderer forenklet administrasjon av tilgang, bedre revisjons- og samsvarsgrunnlag, og god skalerbarhet i store organisasjoner eller mellom ulike avdelinger. Det gjør også onboarding og offboarding raskere, ettersom rettigheter kan tildeles eller fjernes ved rolleendringer i stedet for individuelle tiltak.

Utfordringer omfatter definisjon og vedlikehold av roller, spesielt i organisasjoner med mange spesialiserte oppgaver. Over tid kan rollene bli unødvendig brede eller overlappe hverandre, noe som fører til rolleboom. I slike tilfeller kan kombinerte modeller som ABAC eller policy-baserte metoder være nødvendig for mer finmasket styring.

Vanlige bruksområder er bedriftsinfrastruktur, bedriftsapplikasjoner, HR- og økonomisystemer, og skytjenester. RBAC har vært standard i mange sikkerhetsrammeverk og er omtalt i flere tekniske referanser og modeller, inkludert varianter og utvidelser for fleksible arbeidsmiljøer.