O que é controle de acesso baseado em função (RBAC)?

Em um sistema RBAC, um administrador atribui a cada usuário uma ou mais funções. Cada nova função representa um conjunto de permissões ou privilégios para o usuário.

Uma função financeira pode autorizar um usuário a fazer compras, executar um software de previsão ou conceder acesso aos sistemas da cadeia de suprimentos. Uma função de recursos humanos pode autorizar um usuário a ver arquivos de pessoal e gerenciar sistemas de benefícios de funcionários.

Grandes organizações com muitos funcionários costumam usar o RBAC para simplificar o gerenciamento de acesso e manter a segurança da informação para recursos digitais. Algumas empresas também usam o RBAC para conceder autorização de segurança para locais físicos, como fechaduras eletrônicas em prédios, escritórios e data centers.

Ao restringir o acesso dos usuários aos recursos necessários para suas funções, o RBAC pode ajudar na defesa contra agentes internos maliciosos, funcionários negligentes e agentes de ameaças externas.

Um sistema de controle de acesso baseado em funções permite que as organizações adotem uma abordagem granular ao gerenciamento de acesso e identidade (IAM), além de aperfeiçoar os processos de autorização e as políticas de controle de acesso. O RBAC ajuda as organizações a:

• Atribua permissões de forma mais eficaz
• Manter a conformidade
• Proteja dados sensíveis

O RBAC elimina a necessidade de provisionar cada usuário com um conjunto personalizado de permissões de usuário. Em vez disso, as funções RBAC definidas determinam os direitos de acesso. Esse processo facilita a integração ou o desligamento de funcionários na organização, a atualização das funções de trabalho e a transformação das operações comerciais.

Os benefícios do RBAC também incluem a capacidade de adicionar rapidamente permissões de acesso para contratados, fornecedores e outros usuários terceirizados. Por exemplo, uma atribuição de função de comarketing pode conceder a um parceiro de negócios externo acesso à interface de programação de aplicativos (API) para bancos de dados relacionados aos produtos. Dessa forma, o usuário tem acesso às informações necessárias, mas nenhum dos recursos confidenciais da empresa é exposto.

A implementação do RBAC também ajuda as empresas a cumprirem as regulamentações de proteção de dados, como os mandatos que abrangem serviços financeiros e organizações de saúde. O RBAC oferece transparência para os reguladores em relação a quem, quando e como as informações confidenciais estão sendo acessadas ou modificadas.

As políticas do RBAC ajudam a lidar com as vulnerabilidades de cibersegurança aplicando o princípio do menor privilégio (PoLP). No PoLP, as funções de usuário concedem acesso ao nível mínimo de permissões necessárias para concluir uma tarefa ou cumprir um trabalho. Por exemplo, um desenvolvedor júnior pode ter permissão para trabalhar no código-fonte de um aplicativo, mas não pode confirmar alterações sem a aprovação de um supervisor.

Ao limitar o acesso a dados confidenciais, o RBAC ajuda a evitar a perda acidental de dados e violações de dados intencionais. Especificamente, o RBAC ajuda a reduzir o movimento lateral, que ocorre quando os hackers usam um vetor inicial de acesso à rede para expandir gradualmente seu alcance a um sistema.

De acordo com o índice X-Force Threat Intelligence Index, o abuso de contas válidas (no qual hackers assumem o controle de contas de usuários legítimos e usam seus privilégios para causar danos) é um dos vetores de ataques cibernéticos mais comuns. O RBAC mitiga os danos que um hacker pode causar na conta de um usuário, limitando o que essa conta pode acessar.

Da mesma forma, ameaças internas são uma das causas mais caras de violações de dados. De acordo com o relatório do custo das violações de dados, as violações causadas por agentes internos maliciosos custam em média US$ 4,92 milhões, o que supera o custo médio geral das violações de US$ 4,44 milhões.

Ao limitar as permissões do usuário com o RBAC, fica mais difícil para os funcionários usarem indevidamente seus privilégios de acesso de forma maliciosa ou negligente para prejudicar a organização.

A restrição cuidadosa do acesso ao sistema ganhará importância ainda maior com o uso crescente de inteligência artificial (IA) avançada. Podem surgir problemas quando os usuários fornecem informações confidenciais ou sigilosas para ferramentas de IA generativa sem permissão, e há poucas proteções em vigor. Um estudo do IBM Institute for Business Value descobriu que apenas 24% dos projetos atuais de IA generativa têm um componente para proteger as iniciativas.

Em um sistema RBAC, as organizações devem primeiro criar funções específicas e, em seguida, definir quais permissões e privilégios serão concedidos a essas funções. As organizações geralmente começam separando amplamente as funções em três categories de alto nível: administradores, especialistas ou usuários especializados e usuários finais.

Para configurar ainda mais diferentes funções para conjuntos específicos de usuários, fatores mais refinados, como autoridade, responsabilidades e níveis de qualificação, são levados em consideração. Às vezes, uma função pode corresponder diretamente a um cargo. Em outros casos, a função pode ser uma coleção de permissões que podem ser atribuídas a um usuário que atenda a determinadas condições, independentemente de seu cargo.

Os usuários geralmente recebem várias funções ou podem ser atribuídos a um grupo de funções que inclui vários níveis de acesso. Algumas funções são hierárquicas e fornecem aos gerentes um conjunto completo de permissões, enquanto as funções abaixo delas recebem um subconjunto dessas permissões. Por exemplo, a função de um supervisor pode conceder a esse usuário acesso à modificação de um documento, enquanto os membros da equipe têm apenas acesso de leitura.

1. Um administrador de TI em um hospital cria uma função RBAC para "enfermeiro".
2. O administrador define permissões para a função de enfermeiro, como exibir medicamentos ou inserir dados em um sistema de registro eletrônico de saúde (EHR).
3. Os membros da equipe de enfermagem do hospital são designados com a função RBAC de enfermeiro.
4. Quando os usuários atribuídos à função de enfermeiro efetuam logon, o RBAC verifica quais permissões eles têm direito e concede a eles acesso para essa sessão.
5. Outras permissões do sistema, como prescrever medicamentos ou solicitar exames, são negadas a esses usuários porque elas não estão autorizados para a função de enfermeiro.

Muitas organizações usam uma solução de gerenciamento de acesso e identidade (IAM) para implementar o RBAC em suas empresas. Os sistemas IAM podem ajudar na autenticação e autorização em um esquema RBAC:

• Autenticação: os sistemas IAM podem verificar a identidade de um usuário checando suas credenciais em um diretório de usuários ou banco de dados centralizado.
  
  
• Autorização: os sistemas IAM podem autorizar usuários verificando suas funções no diretório de usuários e concedendo as permissões apropriadas com base nessa função no esquema RBAC da organização.

O Instituto Nacional de Padrões e Tecnologia dos EUA (NIST), que desenvolveu o modelo RBAC, apresenta três regras básicas para todos os sistemas de RBAC.

1. Atribuição de função: um usuário deve receber uma ou mais funções ativas para ter permissões ou privilégios.
   
   
2. Autorização de função: o usuário deve estar autorizado a assumir a função ou funções que lhe foram atribuídas.
   
   
3. Autorização de permissão: as permissões ou privilégios são concedidos somente aos usuários que foram autorizados por meio de suas atribuições de função.

Existem quatro modelos separados para implementar o RBAC, mas cada um deles começa com a mesma estrutura central. Cada modelo sucessivo adiciona novas funcionalidades e recursos sobre o modelo anterior.

• RBAC central
• RBAC hierárquico
• RBAC restrito
• RBAC simétrico

Às vezes chamado de Flat RBAC, esse modelo é a base necessária para qualquer sistema RBAC. Ele segue as três regras básicas. Os usuários recebem funções que autorizam o acesso a conjuntos específicos de permissões e privilégios. O RBAC central pode ser usado como um sistema primário de controle de acesso ou como base para modelos de RBAC mais avançados.

Esse modelo adiciona hierarquias de funções que replicam a estrutura hierárquica de uma organização. Em uma hierarquia de funções, cada função herda as permissões da função abaixo dela e ganha outras novas.

Por exemplo, uma hierarquia de funções pode incluir executivos, gerentes, supervisores e funcionários de linha. Um executivo no topo da hierarquia teria autorização a um conjunto completo de permissões, enquanto gerentes, supervisores e funcionários de linha receberiam subconjuntos sucessivamente menores desse conjunto de permissões.

Além das hierarquias de funções, esse modelo adiciona recursos para impor a separação de funções (SOD). A separação de funções ajuda a evitar conflitos de interesse, exigindo que duas pessoas concluam determinadas tarefas.

Por exemplo, um usuário que solicita reembolso de uma despesa comercial não deve ser a mesma pessoa que aprova essa solicitação. A política RBAC restrita garante que os privilégios de usuário sejam separados para esses tipos de tarefas.

Esse modelo é a versão mais avançada, flexível e abrangente do RBAC. Além dos recursos dos modelos anteriores, proporciona mais visibilidade de permissões em toda a empresa.

As organizações podem revisar como cada permissão é vinculada a cada função e cada usuário no sistema. Também é possível ajustar e atualizar as permissões associadas às funções à medida que os processos de negócios e as responsabilidades dos funcionários evoluem.

Essas funcionalidades são extremamente valiosas para grandes organizações que precisam garantir que cada função e cada usuário tenha o acesso mínimo necessário para realizar as tarefas.

Existem outras estruturas de controle de acesso que as organizações podem usar como alternativa ao RBAC. Em alguns casos de uso, as organizações combinam o RBAC com outro modelo de autorização para gerenciar as permissões do usuário. Alguns frameworks de controle de acesso comumente usados incluem:

• Controle de acesso obrigatório (MAC)
• Controle de acesso discricionário (DAC)
• Controle de acesso baseado em atributos (ABAC)
• Lista de controle de acesso (ACL)

Os sistemas MAC aplicam políticas de controle de acesso definidas de forma central para todos os usuários. Esses sistemas são menos granulares que os RBAC, e o acesso normalmente é baseado em níveis de autorização definidos ou pontuações de confiança. Muitos sistemas operacionais usam MAC para controlar o acesso de programas a recursos confidenciais do sistema.

Os sistemas DAC permitem que os proprietários de recursos definam suas próprias regras de controle de acesso a esses recursos. O DAC é mais flexível do que as políticas gerais do MAC e menos restritivo do que a abordagem estruturada do RBAC.

O ABAC analisa os atributos dos usuários, objetos e ações, como o nome de usuário, o tipo de recurso e a hora do dia, para determinar se o acesso será concedido. O RBAC pode ser mais fácil de implementar do que o ABAC porque usa funções organizacionais em vez dos atributos de cada usuário para autorizar o acesso.

A diferença entre RBAC e ABAC é que o ABAC determina dinamicamente as permissões de acesso no momento, com base em vários fatores, enquanto o RBAC determina as permissões de acesso com base apenas na função predefinida do usuário.

A ACL é um sistema básico de controle de acesso que faz referência a uma lista de usuários e regras para determinar quem pode acessar um sistema ou recurso e quais ações podem ser executadas.

A diferença entre ACL e RBAC é que uma ACL define individualmente as regras para cada usuário, enquanto os sistemas RBAC atribuem direitos de acesso com base em funções.

Para grandes organizações, o RBAC é considerado uma opção melhor para controle de acesso porque é mais escalável e mais fácil de gerenciar do que a ACL.