websights Comprendre les avantages du PBAC par rapport au RBAC et à l'ABAC

Vous cherchez inwebo.com? Vous êtes au bon endroit ! Pour en savoir plus, lisez notre article de blog

Rejoignez-nous en personne lors des prochains salons et conférences de l'industrie.

Contenus

Exploiter la puissance du contrôle d'accès basé sur des règles : avantages et opportunités

La Gestion des Identités et des Accès est un cadre de sécurité de l'information qui existe depuis plus longtemps que la plupart d'entre nous.À mesure que les technologies évoluent, la nécessité de renforcer la protection des ressources et des identités s'accroît et la gestion des identités et des accès se complexifie. Fort heureusement, de nouvelles méthodes et méthodologies facilitent la vie des utilisateurs et des administrateurs. Le contrôle d'accès basé sur des politiques (Policy Based Access Control”, PBAC en anglais) est un concept relativement récent qui élimine les inconvénients traditionnels du contrôle d'accès basé sur les rôles (“Role-based access control”, RBAC) et du contrôle d'accès basé sur les attributs (“Attribute Based Access Control”, ABAC). Et l'approche de TrustBuilder en matière de PBAC ajoute une dimension supplémentaire à ses avantages.

Quelle est l'importance du contrôle d'accès ?

Le contrôle d'accès aux applications, aux données et aux services est devenu un aspect essentiel des opérations commerciales modernes, garantissant que seules les personnes autorisées peuvent interagir avec des informations sensibles. Auparavant, les organisations n'utilisaient que des systèmes on-premise, pour lesquels le contrôle était maintenu dans un lieu physique ou dans un réseau propriétaire. Cependant, le passage aux services cloud et aux applications en tant que service (SaaS) a considérablement modifié le contrôle d'accès. Les applications web-based offrent l'avantage d'offrir un accès à un public plus large, comme par exemple aux employés, ainsi qu'aux clients. Par ailleurs, elles rendent le contrôle d'accès encore plus important, car les données et les applications deviennent plus facilement accessibles.

Dans le cas des systèmes on-premise, le contrôle d'accès était assez simple et basé sur le rôle de l'employé : un directeur financier avait accès aux rapports financiers, les autres employés non. Les responsables des ventes avaient accès à une application permettant d'établir des devis, mais pas les autres employés. Avec l'augmentation du nombre d'applications disponibles en ligne, il est devenu plus difficile de faire correspondre les applications aux rôles au sein d'une organisation. Par conséquent, le contrôle d'accès à grande échelle n'était plus suffisant. Et comme les entreprises collaborent avec de plus en plus de partenaires qui ont également besoin d'accéder à ces applications, la nécessité d'un contrôle d'accès à granularité fine devient encore plus cruciale. Le principe de base reste que seules les bonnes personnes ont accès à des ressources spécifiques.

Qu'est-ce que le contrôle d'accès basé sur les rôles (RBAC) ?

Le contrôle d'accès basé sur les rôles (RBAC) est une méthode permettant de déterminer l'accès aux ressources d'un ordinateur ou d'un réseau. Dans ce type de contrôle, les autorisations d'accès sont liées à des rôles et les utilisateurs sont affectés à différents rôles. Un rôle englobe les autorisations nécessaires à l'exécution d'une fonction spécifique au sein d'une organisation. Lorsqu'un utilisateur est assigné à un rôle, il reçoit les droits d'accès que ce rôle lui confère, ce qui lui permet d'effectuer certaines tâches. Dans le système RBAC, les rôles sont placés dans l'application et les organisations devront copier ces rôles dans leur Active Directory ou tout autre fournisseur d'identité (IdP) qu'elles utilisent, afin d'obtenir une correspondance entre l'application et l'utilisateur, sur la base de leur rôle. Cela simplifie les choses : tout ce qu'une organisation doit faire, c'est fournir les mêmes rôles dans le fournisseur d'identité que dans l'application (aussi appelée fournisseur de services dans la terminologie IAM). RBAC a fait ses preuves pour l'accès des employés aux applications on-premise et pour les cas d'utilisation simples.

Dans le cas des accès clients, c'est plus compliqué : on ne connaît pas l'utilisateur au moment de son onboarding, il faut donc l'identifier et lui accorder l'accès aux ressources seulement après avoir vérifié un certain nombre de variables.

Qu'est-ce que le contrôle d'accès basé sur les attributs (ABAC) ?

Contrairement au contrôle d'accès basé sur les rôles (RBAC), le contrôle d'accès basé sur les attributs (ABAC) n'accorde pas l'accès en fonction des rôles techniques, mais en fonction des attributs. Les attributs sont des caractéristiques ou des propriétés qui peuvent être associées aux utilisateurs, aux objets, aux actions ou à l'environnement. Ces attributs peuvent être combinés pour créer des règles de contrôle d'accès complexes, garantissant que seules les personnes autorisées peuvent effectuer des actions spécifiques sur des ressources particulières dans certaines conditions. Voici quelques exemples d'attributs :

  • Les attributs utilisateurs : Rôle, département, titre, habilitation de sécurité, etc.
  • Les attributs de ressource : Type de fichier, niveau de classification, propriétaire, etc.
  • Les attributs d'action : Lecture, écriture, suppression, mise à jour, etc.
  • Les attributs d'environnement : Heure, lieu, type d'appareil, connexion réseau, etc.

Ces attributs sont stockés dans un système de gestion des identités et des accès clients (CIAM).

Quels sont les défauts potentiels du RBAC et de l'ABAC ?

À mesure que notre société et le mode de fonctionnement des entreprises deviennent plus complexes, les lacunes du contrôle d'accès basé sur les rôles et du contrôle d'accès basé sur les attributs deviennent évidentes.

  • Le contrôle d'accès basé sur les rôles peut entraîner une accumulation de rôles, ce qui rend le système difficile à gérer. Le RBAC attribue des autorisations à des rôles et non directement à des utilisateurs, ce qui peut compliquer la gestion des autorisations individuelles dans des environnements complexes. Cette rigidité peut conduire à une multiplication des rôles, qui doivent être créés pour répondre aux besoins spécifiques des utilisateurs. Elle peut également compliquer les scénarios dans lesquels les exceptions doivent être plus fines, car cela nécessite généralement la création d'un nouveau rôle.
  • Comme les rôles sont inhérents à une application, des rôles supplémentaires doivent être créés pour des applications spécifiques, ce qui augmente le risque du nombre excessif de rôles et de contradictions au sein de ces rôles.
  • Lorsque les utilisateurs changent de rôle, les rôles techniques doivent également être adaptés, et la complexité peut conduire à un accès non autorisé dans certains cas.
  • Si ABAC offre une approche plus nuancée grâce à ses attributs, il a ses propres défauts. Sa complexité peut entraîner une surcharge de travail dans la gestion et l'évaluation des politiques, ce qui exige une planification minutieuse et une surveillance continue. Contrairement au RBAC, où les rôles sont prédéfinis, la flexibilité de l'ABAC, qui permet d'appliquer des conditions à n'importe quel attribut, nécessite beaucoup de réflexion et de configuration en amont pour être mise en place correctement. Pour assurer une sécurité fine, de nombreux attributs peuvent être nécessaires, ce qui rend le système complexe à configurer.

Qu'est-ce que le contrôle d'accès basé sur les politiques (PBAC) ?

Le contrôle d'accès basé sur des politiques (PBAC) gère l'accès des utilisateurs aux ressources en utilisant des politiques prédéfinies. Ces politiques précisent qui peut accéder à quoi et dans quelles circonstances. Elles utilisent un langage ou une syntaxe standard pour exprimer les règles, ce qui permet de les créer, de les modifier et de les gérer facilement. Cela permet également de rationaliser le processus d'ajout de nouvelles applications en permettant aux administrateurs de définir les règles d'accès sous une forme plus lisible, ce qui réduit la complexité et augmente l'efficacité de la maintenance des contrôles d'accès.

Par exemple, si le CIAM de votre application comptable doit définir quel comptable peut gérer quels comptes clients, vous pouvez veiller à ce que les comptes dont il est responsable correspondent à ces noms de comptes spécifiques. Si on compare avec le RBAC, il faudrait créer un nouveau rôle pour chaque compte client. Dans le cas du ABAC, nous aurions besoin de beaucoup plus d'attributs pour gérer ce type de situation.

De plus, avec le PBAC, vous pouvez ajouter la période de temps pendant laquelle les personnes peuvent accéder aux comptes.

Quels sont les cas d'utilisation pour le contrôle d'accès basé sur les politiques (PBAC) ?

Le PBAC sera généralement utilisé dans des organisations avec une structure de rôles complexe, par exemple lorsque des entreprises collaborent avec des partenaires externes. Une même personne peut être un développeur travaillant dans son entreprise, mais assumant le rôle de chef de projet dans le consortium au sein duquel différentes entreprises travaillent. Ce rôle de gestion de projet nécessite plus de privilèges d'accès que le rôle de développeur. Le PBAC permet d'établir des politiques complexes qui régissent l'accès en fonction des rôles, des relations ou d'autres attributs.

Parmi les autres cas d'utilisation, on peut citer :

  • La conformité réglementaire : De nombreuses industries sont soumises à des réglementations telles que la RGPD, la loi HIPAA ou la loi SOX, qui imposent un contrôle strict de l'accès aux informations sensibles. Le PBAC permet aux organisations de définir des politiques qui garantissent que seules les personnes autorisées peuvent accéder à des données spécifiques, contribuant ainsi à la conformité avec les exigences légales.
  • Environnements commerciaux dynamiques : Les entreprises modernes doivent souvent s'adapter rapidement à des conditions en constante évolution. La souplesse de la PBAC dans la définition des contrôles d'accès peut être adaptée à divers scénarios, comme le travail à distance ou les changements organisationnels soudains. Cette adaptabilité dynamique garantit que la sécurité reste intacte sans entraver la souplesse des opérations de l'entreprise.

Comment TrustBuilder renforce-t-il la puissance du PBAC?

Plusieurs fournisseurs de CIAM ont découvert les avantages du PBAC. TrustBuilder, acteur innovant sur le marché, rend le PBAC encore plus puissant pour ses clients en ajoutant des fonctionnalités supplémentaires telles que les Personas, la gestion basée sur les sessions et l'administration déléguée.

  • Personas : TrustBuilder croit fondamentalement que chaque utilisateur n'a besoin que d'un seul profil. Il n'est pas nécessaire d'avoir un profil distinct pour chaque rôle assumé par l'utilisateur. Pour concrétiser cela dans sa plateforme CIAM, TrustBuilder utilise la notion de Persona : un Persona reflète l'aspect d'une personne en tant qu'utilisateur d'un système ou d'un service digital et permet à ces activités d'être clairement séparées, pour des raisons de commodité pour l'utilisateur et/ou pour des raisons de sécurité. Pour en savoir plus sur les personas, consultez notre article à ce sujet.
  • Gestion basée sur les sessions : nos politiques offrent la possibilité de définir la durée de vie ("time-to-live" (TTL) en anglais), la limite de saut ("hop limit" en anglais) pour restreindre la durée d'une session, ainsi que la possibilité de définir la règle de contrôle d'accès ("Access Control Rule", ACR) qui peut gérer une session en fonction du niveau de la méthode d'authentification ("Authentication Method Level", AML). En fonction du niveau d'authentification requis, la politique peut autoriser ou non l'utilisation d'un Single Sign-on lors du passage d'une application à une autre, en association avec des limites de temps. Lorsque l'utilisateur souhaite accéder à une application pour laquelle la méthode d'authentification ne répond pas aux exigences fixées par la règle de contrôle de l'accès, une authentification de niveau supérieur est nécessaire.
  • Administration déléguée : le concept de Persona facilite également la délégation de l'administration à un autre utilisateur, qui peut alors effectuer certaines tâches pendant une période de temps définie. Une personne âgée peut par exemple déléguer toutes ses transactions financières à sa fille et la banque doit s'assurer que cette dernière est autorisée à agir en tant que mandataire.

Dans un avenir proche, RBAC, ABAC et PBAC auront certainement tous leurs cas d'utilisation. Dans les organisations simples, le contrôle d'accès basé sur les rôles est une solution facile à mettre en œuvre. Mais comme les organisations sont de plus en plus complexes et travaillent dans un esprit de collaboration ouverte avec d'autres entreprises partenaires, le contrôle d'accès basé sur des politiques deviendra certainement de plus en plus attrayant pour assurer la sécurité des organisations tout en garantissant une bonne expérience client. TrustBuilder, avec sa solution de bout en bout, supporte aussi bien les systèmes RBAC, ABAC et PBAC, repoussant les limites de chacun d'entre eux.

Le contrôle d'accès basé sur les rôles (RBAC) est une méthode de sécurité dans laquelle les autorisations d'accès sont liées à des rôles au sein d'une organisation. Les utilisateurs se voient attribuer des rôles, chacun comprenant les autorisations nécessaires pour des fonctions spécifiques. Cette méthode simplifie la gestion des accès, en particulier dans des scénarios simples tels que l'accès des employés aux applications de l'entreprise.

Le contrôle d'accès basé sur les attributs (ABAC) accorde l'accès sur la base d'une combinaison d'attributs d'utilisateur, d'objet, d'action et d'environnement. Il crée des règles garantissant que les personnes autorisées effectuent des actions spécifiques sous certaines conditions, offrant ainsi un contrôle d'accès précis pour des exigences professionnelles diverses et dynamiques.

Le contrôle d'accès basé sur des règles (PBAC) est une méthode de gestion de l'accès des utilisateurs aux ressources par le biais de règles prédéfinies. Ces politiques déterminent qui peut accéder à quelles ressources et dans quelles conditions, en utilisant un langage standard pour faciliter la création et la gestion des règles, ce qui renforce la sécurité et l'efficacité dans les environnements numériques complexes.