Wat is RBAC?

Wat is Role Based Access Control (RBAC)?

De term RBAC staat voor Role Based Access Control. RBAC is een methode om het autorisatiebeheer binnen een organisatie in te richten. Volgens deze methode worden autorisaties niet op individuele basis toegekend, maar op basis van RBAC-rollen en die rollen zijn weer opgebouwd uit afdeling, functie, locatie en kostenplaats van een medewerker in een organisatie. De RBAC-rollen worden gewoonlijk vastgelegd in een zogenaamde RBAC-tabel.

Piramide RBAC model

Een goede methode om autorisaties toe te kennen en de RBAC-matrix te vullen is in de vorm van een piramide. Bovenaan de piramide bevindt zich de organisatie (top), daarna afdeling, locatie, functie en tot slot individu (grondlaag). De piramide wordt ingevuld en op de toplaag (organisatie en locatie) zijn er autorisaties die voor iedereen gelden (bv. inloggen, tekstverwerken, e-mail). Dit gedeelte kan vrijwel direct ingevuld worden.
Vervolgens worden de autorisaties per afdeling/functie ingevuld (bv toegang tot afdelings-share en –applicaties). Het is hierbij handig om de top vijftig combinaties van afdeling en functie van actieve dienstverbanden als basis te nemen. Voor het bepalen van de combinaties is het HRM-systeem een prima bron. Dit is een eerste aanzet tot een rollenmodel op organisatieniveau.

Detailautorisaties

Het toekennen van de detailautorisaties kunnen ad-hoc uitgevoerd worden door een manager via bijvoorbeeld een workflow. De manager is tenslotte verantwoordelijk voor de autorisaties van zijn medewerkers. Via e-mail notificatie en/of een webformulier wordt via een workflow aan deze juiste manager gevraagd wat de specifieke rechten en applicaties voor de betreffende medewerker moeten zijn. Vervolgens kan RBAC-software vastleggen welke keuzes de manager maakt en deze informatie kan gebruikt worden om lege delen van de RBAC-tabel verder te definiëren om uiteindelijk te komen tot een gevulde RBAC-tabel.