RBAC frente a ABAC

El Control de Acceso Basado en Roles (RBAC) y el Control de Acceso Basado en Atributos (ABAC) son dos modelos de seguridad de acceso populares en los entornos corporativos, gubernamentales y otros entornos informáticos.

Existen varios modelos de seguridad adicionales, como el Control de Acceso Basado en la Identidad (IBAC), el Control de Acceso Basado en el Contexto (CBAC), el Control de Uso y el Acceso Zero Trust.

Tanto RBAC como ABAC son conceptos ya bien arraigados de control de acceso, con un desarrollo inicial que comenzó para RBAC en la década de 1970 y para ABAC en la década de 1980. El RBAC ha ganado una amplia aceptación en los últimos 25 años debido a sus mejoras en la gestión y la seguridad simplificadas. ABAC se desarrolló para gestionar la seguridad en entornos más complejos donde RBAC no podía ofrecer el control granular deseado. Ambos fueron promovidos en 2004 cuando la orientación y la implementación fueron estandarizadas por entidades como el National Institute of Standards and Technology (NIST), el American National Standards Institute (ANSI) y la Organization for the Advancement of Structured Information Standards (OASIS).

En un entorno informático, el control de acceso se refiere a las normas y prácticas que implementan la decisión empresarial sobre qué empleados tienen acceso a qué recursos. Un control de acceso adecuado garantiza que solo los usuarios autorizados puedan acceder a recursos específicos, como archivos, bases de datos y dispositivos de red. También impide el acceso no autorizado.

Además de la selección de un modelo de acceso como RBAC, ABAC o Zero Trust, existen varios conceptos asociados con el control de acceso:

• Autenticación: este es el proceso de verificar la identidad de un usuario, dispositivo u otra entidad en una red. Los métodos comunes de autenticación incluyen contraseñas, biometría y certificados digitales.

• Autorización: una vez autenticado, la autorización determina qué puede hacer un usuario autenticado. Esto implica otorgar o denegar permisos para acceder a ciertos recursos o realizar acciones específicas.

• Contabilidad (o Auditoría): esto implica el seguimiento de las acciones de los usuarios una vez que han sido autenticados y autorizados. Ayuda a supervisar el uso, detectar brechas de seguridad y mantener registros para fines de cumplimiento normativo.

• Listas de control de acceso (ACL): estas son tablas que definen los permisos asociados a un objeto. Las ACL especifican qué usuarios o procesos del sistema pueden acceder a los objetos y qué operaciones pueden realizar.

• Principio de privilegio mínimo: este principio establece que se debe conceder a los usuarios el nivel mínimo de acceso o permisos necesarios para desempeñar sus funciones laborales, reduciendo así el riesgo de acceso no autorizado.

• Control de acceso a la red (NAC): Las soluciones NAC imponen políticas para los dispositivos que acceden a la red, asegurando que solo los dispositivos conformes y autenticados puedan conectarse.
  

Cada uno de estos conceptos debe ser considerado y documentado minuciosamente en la sección de control de acceso de la estrategia de ciberseguridad o de cumplimiento normativo.

El control de acceso granular lleva la seguridad un paso más allá, con permisos de acceso definidos a un nivel muy detallado. Esto proporciona un control específico y afinado sobre recursos como campos de datos concretos, funciones o transacciones dentro de una aplicación. Por ejemplo, en un entorno de Microsoft SharePoint, puede haber una biblioteca de documentos donde todos los empleados puedan ver los documentos, pero solo ciertos empleados puedan editar los archivos existentes. Puede haber controles de acceso adicionales dentro de esa biblioteca que permitan a otro conjunto único de usuarios eliminar documentos o crear nuevos archivos y carpetas. Existen muchas combinaciones de permisos que pueden aplicarse a los recursos almacenados en SharePoint. Esto permite que los recursos permanezcan seguros y, al mismo tiempo, sean accesibles para los usuarios autorizados.

Como indican los nombres, RBAC y ABAC se basan en roles y atributos. En el modelo RBAC, los roles se definen en función de las funciones y responsabilidades laborales dentro de la organización. El acceso a un recurso se asigna a un rol en lugar de a un individuo porque es más fácil mover a un individuo entre roles que volver a crear permisos cuando se cambia el rol de un individuo en la empresa.

Los roles específicos varían ampliamente según la estructura y las necesidades de la organización, pero hay algunos roles, o niveles de roles, que se utilizan comúnmente:

• Administrador: este rol tiene acceso total a todos los recursos y ajustes del sistema. En un equipo de TI, este rol podría gestionar las cuentas de usuario, configurar los ajustes del sistema y mantener las políticas de seguridad. 
• Gerente: estos empleados pueden necesitar acceso a recursos que les ayuden a supervisar un equipo o departamento. Esto puede incluir aprobar las solicitudes de los empleados y generar informes de rendimiento. 
• Usuario: un usuario de red tiene acceso a los recursos necesarios para llevar a cabo sus funciones laborales específicas. Se les debe permitir usar solo las aplicaciones y otros recursos necesarios para su trabajo. 
• Invitado: esta persona podría ser un proveedor o alguien que visita la oficina corporativa con un propósito específico. Normalmente, este rol tiene acceso limitado según sus tareas.

Cada uno de estos roles puede tener varias variantes. Los gerentes de marketing, los gerentes de producto y los gerentes de finanzas probablemente necesiten acceso a diferentes documentos y recursos para realizar su trabajo. Lo mismo ocurre con los usuarios de la red, quienes pueden desempeñar funciones operativas como representante de ventas, representante de servicio al cliente y representante administrativo. Para satisfacer las necesidades de estas divisiones, necesita crear un rol para cada conjunto de permisos.

El modelo ABAC traslada las decisiones de control de acceso a los atributos, que proporcionan información contextual que ayuda a determinar si se debe conceder acceso a un usuario a un recurso. ABAC es más flexible que RBAC y puede adaptarse a una amplia gama de escenarios de control de acceso. Aquí están los tipos de atributos comúnmente utilizados en ABAC, junto con sus definiciones y ejemplos:

•  Atributos del usuario: estos están relacionados con el usuario que solicita acceso e incluyen elementos como el ID del usuario, el rol, el departamento, la autorización de seguridad y la ubicación. 
• Atributos del recurso: los atributos relacionados con el recurso al que se accede incluyen el tipo de recurso, el propietario del recurso, el nivel de sensibilidad y la clasificación. 
• Atributos del entorno: estos atributos pertenecen al contexto de la solicitud de acceso. La hora del día, la fecha, la ubicación y el tipo de dispositivo son ejemplos. 
• Atributos de acción: estos son determinados por la acción específica que se solicita. Por ejemplo, leer, escribir, copiar y editar son todos atributos de acción.

En resumen, evalúe las necesidades organizativas, los recursos y el presupuesto para la implementación, así como los requisitos de seguridad y cumplimiento normativo. Para esto, debe involucrar a las partes interesadas, ya que tendrán información sobre los diferentes tipos de acceso que se deben conceder. Las partes interesadas deberían ser involucradas desde el principio en un proyecto como este, porque probablemente seguirá estos pasos durante la implementación:

Implementación de RBAC

1. Identificar roles: defina todos los roles dentro de su organización.
2. Defina permisos: especifique los permisos de acceso para cada rol.
3. Asigne roles a los usuarios: Asigne a los usuarios los roles adecuados.
4. Elija un sistema: seleccione un sistema de gestión de acceso que sea compatible con RBAC.
5. Configure y supervise: Configure los roles y permisos, luego revíselos y actualícelos regularmente. 

Implantación de ABAC

1. Identifique los atributos: defina los atributos de usuario, recurso y ambientales.
2. Defina políticas: cree políticas de control de acceso basadas en atributos.
3. Elija un sistema: seleccione un sistema de gestión de acceso compatible con ABAC.
4. Configurar y probar: configure los atributos y políticas, pruebe y supervise su eficacia de forma continua.

Implementación de un enfoque híbrido

1. Implemente la base de RBAC: comience configurando un marco de trabajo RBAC.
2. Identifique atributos adicionales: defina atributos para un control más granular.
3. Desarrolle políticas híbridas: cree políticas que combinen funciones y atributos.
4. Elija un sistema híbrido: seleccione un sistema que sea compatible tanto con RBAC como con ABAC.
5. Configurar, supervisar y actualizar: establezca roles y atributos, luego revise y actualice las políticas regularmente.

Como puede ver, las partes interesadas son necesarias para la mayoría de las decisiones en los primeros pasos.

A menudo se prefiere Acceso Zero Trust a RBAC y ABAC por estas razones comunes:

seguridad

•  Suposición de violación: ZTA opera bajo el principio de "nunca confíe, verifique siempre", asumiendo que las amenazas pueden originarse tanto dentro como fuera de la red. Esto contrasta con RBAC y ABAC, que pueden confiar implícitamente en los usuarios o dispositivos internos. 
• Verificación continua: las solicitudes de acceso se autentican, autorizan y cifran de manera continua. A diferencia de RBAC y ABAC, que pueden otorgar acceso en función de una verificación única, ZTA garantiza que el acceso se reevalúe en cada paso. 
• Superficie de ataque minimizada: al segmentar la red en segmentos más pequeños y aislados (microsegmentación), ZTA reduce el daño potencial de una brecha, limitando el movimiento lateral de los atacantes.

Control granular y flexibilidad

• Toma de decisiones conscientes del contexto: ZTA tiene en cuenta una amplia gama de factores en tiempo real, como la identidad del usuario, el estado del dispositivo, la ubicación y los patrones de comportamiento. Mientras que ABAC también utiliza atributos, ZTA los combina con la supervisión continua y políticas dinámicas para tomar decisiones más matizadas.
• Ajustes de acceso dinámicos: ZTA puede ajustar dinámicamente el acceso basándose en evaluaciones de riesgo actuales e inteligencia de amenazas, proporcionando una seguridad más adaptativa en comparación con la naturaleza estática de RBAC e incluso las políticas relativamente estáticas de ABAC. 

Adaptabilidad a las amenazas modernas

• Resistencia a las amenazas internas: ZTA no confía implícitamente en ningún usuario o dispositivo, lo que mitiga significativamente el riesgo de amenazas internas. RBAC y ABAC pueden ser más vulnerables si un insider obtiene acceso no autorizado.
• Protección contra ataques avanzados: al validar continuamente las solicitudes de acceso y aplicar el principio de privilegio mínimo, ZTA está mejor preparada para manejar amenazas sofisticadas como el phishing, el malware y las amenazas persistentes avanzadas (APT).

Escalabilidad y gestión

• Gestión centralizada de políticas: los marcos de ZTA suelen ofrecer una gestión centralizada de políticas, lo que facilita la aplicación de políticas de seguridad coherentes en entornos diversos y distribuidos.
• Reducción de la complejidad con el tiempo: aunque la implementación inicial de ZTA puede ser compleja, puede disminuir la complejidad general al eliminar la necesidad de definiciones extensas de roles (como en RBAC) y configuraciones complejas de atributos (como en ABAC).

Cumplimiento normativo y capacidad de auditoría

• Mejora del cumplimiento normativo: las capacidades de supervisión y registro continuos de ZTA mejoran el cumplimiento normativo al proporcionar registros detallados de las solicitudes y decisiones de acceso. 
• Preparación para la auditoría: los registros detallados y la supervisión en tiempo real en ZTA facilitan auditorías más fáciles y precisas en comparación con los métodos tradicionales de control de acceso. 

El Acceso Zero Trust ofrece un marco de seguridad robusto, adaptabilidad a los cambios en el panorama de amenazas y la capacidad de proporcionar controles de acceso granulares y conscientes del contexto. Aunque pueda requerir una configuración inicial más compleja, los beneficios a largo plazo en términos de seguridad y cumplimiento normativo lo convierten en un modelo de control de acceso altamente eficaz para las organizaciones modernas.