Rbac

Seguridad en sistemas de control de acceso basados en Roles
Jueves 29 de Enero de 2009 09:33 | Escrito por Jonathan Solís

Como respuesta al nivel de complejidad que las organizaciones estánadquiriendo en cuanto al control de acceso a los distintos activos de información y en definitiva la gestión de su seguridad, ya hace años que se vienen implantando sistemas de control de accesobasados en roles, también conocidos como RBAC (Role Based Access Control). Estos sistemas cobran su máximo sentido en aplicaciones que sustentan procesos de negocio (ERP, ECM, etc).
RBAC difiereprincipalmente de los sistemas tradicionales basados en ACL’s –como MAC o DAC- en que su arquitectura está ideada para asignar permisos a operaciones más que a objetos concretos (ficheros, registros, etc).Siendo por tanto su principal ventaja el permitir alinear la infraestructura de seguridad de la información con los objetivos de negocio de una forma natural.
La arquitectura de los sistemas basados enroles se puede representar de la siguiente forma:

La idea consiste en la asignación de permisos (lectura, escritura, etc), sobre objetos o procesos, a los distintos roles ya existentes en laorganización (Revisor, Editor, Calidad, Dirección, etc). De forma que posteriormente se asignen estos roles a los distintos usuarios según las responsabilidades que tienen que adoptar en cada momento(sesión).
Un ejemplo puede ser el típico flujo de trabajo –Workflow- que se genera en la aprobación de una factura de un proveedor en cualquier ERP o Sistema de Gestión Documental. En este caso, dichafactura pasará por distintos estados intermedios en los que distintos usuarios (Jefe de compras, Jefe de un departamento, etc.) con rol “Revisor” le darán el visto bueno hasta que finalmente seaaprobada por Dirección. Durante ese flujo dichos usuarios jugarán el Rol “Revisor” de forma consecutiva, pero una vez esté aprobada la factura para su pago, dichos usuarios adquieren el Rol “Lector”, que...