Was ist RBAC?

Role Based Access Control gilt generell als Best Practice zur Berechtigungsverwaltung, wenn die RBAC-Rollen unternehmensweit verbindlich in einem Rollen- und Berechtigungskonzept definiert und (mit Hilfe eines Identity und Access Management Systems) durchgesetzt werden.

Im Gegensatz zur starren Vergabe von Einzelberechtigungen, die einen hohen Verwaltungsaufwand und eine große Fehleranfälligkeit mit sich bringt, ist die Rechtevergabe auf Basis von Rollen deutlich flexibler anzupassen und weniger aufwendig zu verwalten. So lässt sich die Effizienz von IT-Support und Mitarbeitern deutlich steigern, denn Mitarbeiter müssen selten zusätzliche Rechte anfragen und darauf warten, dass der IT-Support die Anpassungen mit dem Manager abstimmt und dann manuell umsetzt.

Gleichzeitig werden durch die Rollendefinition nach dem Principle of Least Privilege (PoLP) Audit- und Compliance-Anforderungen einfacher eingehalten und Überberechtigungen vermieden, die z.B. durch die gängige Praxis der Copy User schnell entstehen. Hierbei wird für einen neuen Mitarbeiter einfach das Benutzerkonto eines Kollegen mit den entsprechenden Berechtigungen kopiert. So werden möglicherweise jedoch ungewollt überflüssige Rechte vergeben, die der neue Kollege (noch) nicht braucht und durch die zudem hohe Lizenzkosten entstehen.

Auch Prinzipien der Segregation of Duty (SoD) lassen sich durch ein vollständiges Berechtigungskonzept mit entsprechenden Ausschlussdefinitionen in einem IAM-Tool automatisch durchsetzen. Ein Vertriebsmitarbeiter sollte beispielsweise nicht gleichzeitig das Qualitätsmanagement für seine eigenen Aufgaben übernehmen; ein Personaler nicht sein eigenes Gehalt anpassen können.

Ein maßgeschneidertes RBAC-Modell erstellen

Bevor die Vorteile von Role Base Access Control voll ausgeschöpft werden können, muss ein Unternehmen ein umfassendes Rollen- und Berechtigungskonzept erstellen, in dem alle Funktionen der Mitarbeiter in entsprechende Rollen mit entsprechenden Zugriffsrechten überführt wurden. Dieses Berechtigungskonzept kann im Anschluss über ein IAM-Tool implementiert werden, die die zugewiesenen Rollen für alle User in allen angeschlossenen Systemen per User Provisioning durchsetzt und überwacht.

Für die meisten Organisationen bietet es sich an, für das Role-Mining den Pyramiden-Ansatz zu nutzen, um ein maßgeschneidertes Rollenkonzept für RBAC zu erstellen. Am besten gehen Sie folgenderweise vor:

1. Eine Analyse der bestehenden Rollen aufstellen: Von oben nach unten (Top-Down) werden alle (Geschäfts-) Rollen erfasst, die zum Beispiel laut der Personalverwaltung existieren.
2. Eine Analyse der bestehenden Berechtigungen (bzw. Berechtigungsgruppen) aufstellen: Aus den Anwendungen und IT-Systemen, wie z. B. (Azure) Active Directory, werden von unten nach oben (Bottom-Up) die aktuell tatsächlich zugewiesenen Berechtigungen und Gruppen ausgelesen.
3. Ein RBAC-Konzept entwerfen: Die Ergebnisse aus Schritt 1 und 2 werden zusammengeführt und analysiert, um Muster in den Berechtigungen zu ermitteln, die in ein erstes Konzept mit Rollen und zugehörigen Berechtigungen einfließen.
4. Das Konzept mit Stakeholdern wie z. B. Abteilungsleitern evaluieren: Nun werden Fehler und unerwünschte Effekte (zum Beispiel Anhäufungen von Berechtigungen) ausgewertet und beseitigt. Damit wird aus dem Konzept ein erstes verwendbares Modell.
5. Das Ergebnis ist eine Basisversion des Rollenmodells, das sich im Geschäftsbetrieb anwenden lässt. Von hier aus lässt sich das Modell erweitern, aktualisieren und an neue Erkenntnisse und Gegebenheiten anpassen.

Ein Consultant von Tools4ever kann Sie mit speziellen Softwaretools bei der Rollen- und Berechtigungsanalyse unterstützen und so die Erstellung Ihres Rollenmodells erheblich vereinfachen und beschleuningen.