Řízení přístupu je proces, při kterém je ověřována míra oprávnění a uživatelských práv při přístupu ke zdrojům.. ISO/IEC 27001:2022, Annex A.9 – Access Control. Ženeva: ISO, 2022. Ověřují se uživatelé, skupiny uživatelů i počítače. Zdroje jsou vnímány jako sdílené hodnoty, které může počítač nabídnout, např. kapacita pevného disku, tiskárny, operační paměť, procesorový čas apod. Objekty vnímáme jako účelný shluk dat, tedy soubory, skupiny souborů uložené na paměťovém médiu.DOSEDĚL, Tomáš. Počítačová bezpečnost a ochrana dat. Brno: Computer Press, 2004. . Oprávnění určuje typ povoleného přístupu k jednotlivým objektům. Oprávnění se liší podle typu objektu, kterému jsou připisována. Jeden uživatel může mít přiřazeno více oprávnění. Zároveň může patřit do skupiny uživatelů, která má přidělená další práva. Oprávnění se přidělují i souborům. Liší podle objektu přidělení. Ovšem existují i společná oprávnění jako: číst, změnit, odstranit, změnit vlastníka. Nastavením oprávnění určujeme (řídíme) míru nebo způsob přístupu k objektům. Uživatelská práva jsou specifikována souborem oprávnění a přihlašovacími právy v počítačovém prostředí. Mohou být přidělována jednotlivým uživatelským účtům nebo skupinám účtů. „Tato práva umožňují uživatelům provádění specifických akcí, jako je interaktivní přihlášení k systému nebo zálohování souborů a adresářů. Uživatelská práva se liší od oprávnění, protože práva se vztahují na uživatelské účty, zatímco oprávnění jsou přiřazována objektům.“SANDHU, Ravi S., Edward J. COYNE, Hal L. FEINSTEIN a Charles E. YOUMAN. Role-Based Access Control Models. IEEE Computer. 1996, roč. 29, č. 2, s. 38–47. Přidělováním uživatelských práv skupinám se zjednoduší správa uživatelských účtů.
Modely řízení přístupu Pojem uživatel je obraz skutečné identity člověka, u kterého je autentizací zajištěno, že vlastníkem oné identity je právě on. Uživateli jsou následně přidělována přístupová práva podle úrovně ověření. Obecně se řízení přístupu může zavést ve dvou režimech, buď jako povinné řízení přístupu (MAC), anebo nepovinné řízení přístupu (DAC). Nepovinné řízení přístupu je častější. Každý uživatel má přidělena určitá přístupová práva k objektům. Výhodou tohoto přístupu je snadná implementace a administrace. V systému může existovat několik uživatelů s neomezenými právy (superuživatel). Tito uživatelé spravují daný systém, jsou tedy správci. Povinné řízení přístupu je využíváno v organizacích, které operují s utajovanými informacemi, například ve vojenství.BELL, D. Elliott a Leonard J. LAPADULA. Secure Computer System: Unified Exposition and Multics Interpretation. Bedford, MA: The Mitre Corporation, 1976. Základem je dělení dat podle míry utajení. Normální data jsou určená široké veřejnosti, citlivá data jsou interní data (přístupná v rámci dané firmy nebo signatářům NDA) a důvěrná nebo také tajná data jsou určena jen vyjmenovaným příjemcům. Je důležité zabezpečit, aby uživatel neměl přístup k datům z vyššího stupně utajení, než kterému odpovídá jeho pověření. Rozdíl proti nepovinnému řízení přístupu spočívá v tom, že uživatel sám nemůže měnit přístupová práva. Například uživatelé veřejných počítačů v knihovnách mají striktně nastavena uživatelská a přístupová práva k uživatelskému účtu, který je se zdroji dat propojen právě nepovinným řízením přístupu. Řízení přístupu má úzký vztah k procesu autentizace a uživatelským účtům. „Řízení přístupu je závislé na schopnosti systému jednoznačně identifikovat uživatele. Tuto jednoznačnou identifikaci poskytují uživatelské účty.“BOTT, Ed a Carl SIECHERT. Mistrovství v zabezpečení Microsoft Windows 2000 a XP. Brno: Computer Press, 2004.
Kromě MAC a DAC se v praxi používají i další modely. Řízení přístupu na základě rolí (RBAC) přiřazuje oprávnění nikoliv přímo uživatelům, ale rolím, které jsou uživatelům následně přidělovány, čímž se správa oprávnění zjednodušuje ve velkých organizacích. Řízení přístupu na základě atributů (ABAC) jde dál a rozhoduje o přístupu dynamicky, na základě atributů subjektu, objektu i kontextu požadavku, aniž by bylo nutné měnit základní vztahy mezi uživateli a objekty.
Standardy a regulace Řízení přístupu je předmětem řady mezinárodních standardů a právních předpisů. Norma ISO/IEC 27001 v příloze A.9 vyžaduje, aby organizace měly zdokumentovanou a pravidelně přezkoumávanou politiku řízení přístupu, oddělenou na obchodní požadavky, správu uživatelských přístupů a odpovědnost uživatelů.. ISO/IEC 27001:2022, Annex A.9 – Access Control. Ženeva: ISO, 2022. Americký úřad NIST vydává katalog kontrolních opatření SP 800-53, jehož rodina AC (Access Control) popisuje desítky konkrétních opatření od správy účtů přes vynucování přístupu až po princip nejmenších oprávnění. V Evropské unii ukládá obecné nařízení o ochraně osobních údajů (GDPR) v článku 32 správcům a zpracovatelům osobních údajů povinnost omezit přístup k datům jen na osoby, které je nezbytně potřebují, a pravidelně tato oprávnění přezkoumávat.
Moderní architektury Od poloviny 2010. let se prosazuje koncept nulové důvěry (), který přesouvá těžiště řízení přístupu od zabezpečení síťového perimetru k ověřování jednotlivých identit a zařízení. Podle tohoto přístupu se žádnému subjektu automaticky nedůvěřuje jen na základě jeho umístění v síti a každý požadavek na přístup k prostředku je ověřen a autorizován samostatně.
Přístupový systém
Přístupový systém neboli systém řízení (či kontroly) vstupu (či přístupu, anglicky , ACS) je systém, který realizuje řízení přístupu.
Reference
Externí odkazy