Was ist zweckbasierte Zugriffskontrolle (PBAC)?

Die zweckbasierte Zugangskontrolle (PBAC) ist ein relativ neuer Ansatz zur Zugangskontrolle. Anders als beispielsweise die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC), bei der Rollen für bestimmte Zwecke eingerichtet und Benutzer diesen Rollen zugewiesen werden, verwendet die zweckbasierte Zugriffskontrolle einen dynamischeren Ansatz, bei dem sowohl Benutzer als auch Anwendungen direkt zugewiesen werden Zwecken, die bei einer Zugriffsanfrage erstellt werden. Ein Zweck kann die Erstellung von Berichten, die Durchführung von Audits, die Erstellung neuer Anwendungen usw. umfassen.

Wie unterscheidet sich die zweckbasierte Zugangskontrolle von anderen Zugangskontrollmechanismen?

Bisher hatten Unternehmen typischerweise die Wahl zwischen einer von drei Arten von Zugangskontrollmethoden, darunter:

Attributbasierte Zugriffskontrolle (ABAC)

Bei ABAC wird der Zugriff entsprechend den spezifischen Attributen eines bestimmten Benutzers gewährt/entzogen. Wenn der Benutzer beispielsweise ein Mitarbeiter ist und seine Abteilung die Personalabteilung ist, erhält er Zugriff auf das Personal-/Lohn- und Gehaltsabrechnungssystem, und zwar nur während der für die Zeitzone des Unternehmens relevanten Stunden. ABAC wird manchmal auch als richtlinienbasierte Zugriffskontrolle bezeichnet, was nicht sehr hilfreich ist.

Rollenbasierte Zugriffskontrolle (RBAC)

In RBAC werden Rollen erstellt, z. B. Administrator, Fachbenutzer oder Endbenutzer, und Benutzer werden diesen Rollen zugewiesen. Aufgrund seiner Einfachheit ist RBAC möglicherweise die gebräuchlichste Methode zur Zugriffskontrolle. Viele Sicherheitsexperten argumentieren jedoch mittlerweile, dass eine zweckbasierte Zugriffskontrolle eine praktikablere Methode sei.

Richtlinienbasierte Zugriffskontrolle (auch bekannt als PBAC)

Diese Art der Zugriffskontrollmethode wird als eine Kombination aus ABAC und RBAC betrachtet. Es werden Richtlinien eingerichtet, um zu bestimmen, welche Rollen mit welchen Attributen auf welche Systeme und Daten zugreifen können.

Von diesen drei Zugriffskontrollmethoden ist die attributbasierte Zugriffskontrolle (ABAC) wahrscheinlich die Methode, die der zweckbasierten Zugriffskontrolle am nächsten kommt. Auch die zweckgebundene Zugriffskontrolle weist Ähnlichkeiten mit RBAC auf, allerdings wird RBAC, wie oben erwähnt, nicht mehr als granular genug angesehen, um unsere Daten angemessen zu schützen und die relevanten Datenschutzgesetze einzuhalten.

Darüber hinaus erfordert RBAC viel zu viele manuelle Eingaben, was nicht nur den Prozess der Erteilung/Entzug von Berechtigungen verlangsamt, sondern auch eine ständige Wartung erfordert und fehleranfällig ist. Erwähnenswert ist auch, dass die zweckgebundene Zugangskontrolle bei Bedarf mit einigen oder allen der oben genannten Methoden kombiniert werden kann.

Warum ist eine zweckgebundene Zugangskontrolle notwendig?

Die zweckgebundene Zutrittskontrolle erfreut sich aufgrund ihrer Einfachheit und Flexibilität immer größerer Beliebtheit. PBAC kann auch bei der Einhaltung von Datenschutzbestimmungen wie DSGVO und HIPAA helfen. Beispielsweise besagt das Zweckbindungsprinzip der DSGVO, dass „personenbezogene Daten nur für einen rechtmäßigen spezifischen Zweck erhoben und verarbeitet werden sollten“.

Durch die Möglichkeit für Benutzer und Anwendungen, Zugriffsanfragen für einen bestimmten Zweck zu stellen, wird sichergestellt, dass sie zu jedem Zeitpunkt nur Zugriff auf die Systeme und Daten haben, die sie benötigen. PBAC hilft auch bei der Prüfung, da jede Zugriffsanfrage und Genehmigung protokolliert und vom Sicherheitsteam überprüft werden kann.