پادکست شرح انواع روش های سطح دسترسی
اگر فلسک دولوپر را دنبال کرده باشید با انواع متدهای تعیین سطح دسترسی در سازمان ها آشنا هستید. این متدهای سطوح دسترسی جایگاه ویژه ای در استانداردهای امنیت اطلاعات یا ISA دارند و تعیین رویکرد یکسان و ثبات رویه به استاندارد سازی فرایندهای سازمان کمک ویژه خواهد کرد. پادکست انواع روش های سطح دسترسی به توضیح دقیق اما خلاصه متدهایی مثل DAC و RBAC میپردازد که هر کارشناسی در دنیای آی تی باید با آنها آشنا باشد.
ISA چیست؟
ISA مخفف «International Standard on Auditing» یا در زمینهٔ امنیت اطلاعات گاهی به «Information Security Architecture» اشاره دارد، اما در متون حرفهای مدیریت امنیت، ISA اغلب به مجموعهای از استانداردها و چارچوبهایی مانند ISO/IEC 27001، NIST یا COBIT گفته میشود که برای پیادهسازی، ارزیابی و بهبود مستمر سیستم مدیریت امنیت اطلاعات (ISMS) به کار میروند. این استانداردها با رویکرد مبتنی بر ریسک، اهداف امنیتی مانند محرمانگی، یکپارچگی و در دسترس بودن اطلاعات را تضمین میکنند. ISA با الزام به کنترل دسترسی، مدیریت آسیبپذیری، پاسخ به حوادث و ممیزی منظم، به سازمانها کمک میکند تا نه تنها با الزامات قانونی و مقرراتی مانند GDPR یا HIPAA تطابق یابند، بلکه اعتماد ذینفعان را جلب کرده و تداوم کسبوکار خود را در برابر تهدیدات سایبری حفظ کنند.
استانداردهایی که در ISA (مانند ISO/IEC 27001:2022، ضمیمه A.9 – کنترل دسترسی) تدوین شدهاند، کنترل دسترسی را یکی از اصلیترین مکانیزمهای کاهش ریسک میدانند. در این میان، RBAC به عنوان بهترین گزینه (Best Practice) شناخته میشود زیرا مستقیماً با کنترلهای الزامی دیگر در سند ISA همسو است. RBAC امکان ممیزی مؤثر، تفکیک وظایف و اطمینان از انطباق با اصول ISA مانند «مسئولیتپذیری» و «قابل ردیابی بودن» را فراهم میکند.
در مقابل، DAC به دلیل عدم تمرکز و وابستگی به تصمیم فردی کاربران، در سازمانهایی که تحت حاکمیت ISA هستند، به شدت محدود یا ممنوع میشود، مگر در موارد خاص و با کنترلهای جبرانی. استاندارد ISA تأکید دارد که هیچ کاربر معمولی نباید بتواند سطح دسترسی دیگران را تغییر دهد (برخلاف DAC). به عنوان مثال، در ISO 27001، کنترل A.9.2.1 (ثبت کاربر و حذف) نیازمند فرآیند متمرکز و تأییدشده توسط مدیریت است که با ماهیت پراکنده DAC در تضاد است. بنابراین، انتخاب مدل RBAC به عنوان یک نیاز اساسی برای دستیابی به گواهینامه ISA در سازمانهای متوسط و بزرگ مطرح میشود و DAC تنها برای محیطهای کوچک و غیرحساس (مانند کامپیوتر شخصی در خانه) قابل قبول است. در نتیجه، درک و پیادهسازی صحیح RBAC مستقیماً به کاهش سطح ریسک، ممیزیپذیری و انطباق با الزامات ISA کمک میکند.
