¿Es correcto considerar el Control de acceso basado en tareas como un tipo de RBAC?

Question

¿Es correcto considerar el Control de acceso basado en tareas como un tipo de RBAC?

#1 de AviD (4 votos)

5

Estoy estudiando para obtener la certificación CISSP y una de las videoconferencias que vi (CBT Nuggets) realmente me confundió. Aquí hay algunos extractos de la conferencia:

"El control de acceso basado en roles no lo hace   Siempre usa el papel para la base de   cómo va a dividir la información   y accede a la información "

"Ahora entremos, supongo que la   La forma más fácil de definirlo son los 'tipos   de RBAC 'que puede ver por ahí.   El primero está basado en roles y eso   Uno es el que es naturalmente el   Idea aquí porque estamos hablando de   Control de acceso basado en roles. Pero que   También voy a decir es que hay   también lo que se conoce como acceso basado en tareas   Control, también llamado RBAC. En otra   palabras, la forma en que vamos a dividir   nuestros grupos o nuestros contenedores es bien   va a ser por rol o por tarea.

¿Es correcto considerar el control de acceso basado en tareas como un tipo de RBAC? Eso no parece correcto y otros recursos parecen discutirlo como un marco de control de acceso completamente separado (por ejemplo, enlace )

access-control cissp rbac

pregunta Mike B 03.05.2011 - 02:22

fuente

1 respuesta

Lea otras preguntas en las etiquetas access-control cissp rbac

¿qué es un buen script público disponible de iptables para la mitigación de ddos? ¿Qué tan seguro es un sitio web https? [duplicar]

score 4 · Accepted Answer

Hay algunos modelos de control de acceso no canónicos (o no "estándar") (además de los conocidos MAC, DAC, RBAC ...), que simplemente no están bien definidos .
Al igual que en, cualquier persona puede definirlos o redefinirlos como quieran, siempre que el modelo tenga sentido.

Por ejemplo, Esta publicación fue la primera vez que escuché un modelo llamado "Control de acceso basado en tareas", aunque lo uso / empleo / reviso mucho. Curiosamente, ese libro al que te vinculaste fue la segunda vez, en un significado diferente ...

Señalaré que en muchos / la mayoría de los casos que usan el modelo que usted llamó TBAC, se agrega de nuevo a roles. Es decir, el acceso se otorga en base a task , pero la verificación de acceso luego compara este task con roles que contiene esa tarea, y users que son parte de uno de esos roles .
En otras palabras, las tareas se pueden ver como "sub-roles", o si es más fácil, los roles se convierten en contenedores de roles, y las tareas son los roles reales ...
Ver por ejemplo La herramienta AzMan de Microsoft.

Claramente, esta es una mejora enorme en RBAC directo, ya que te brinda cierta granularidad y dinámica para jugar, pero sigue siendo una forma de RBAC (extendido).
Por cierto, también he visto esto llamado "RBAC jerárquico", así que ...