امنیت

کنترل دسترسی

فهرست مطالب

تعریف کنترل دسترسی (Access Control)
اجزای کنترل دسترسی چیست؟
کنترل دسترسی چگونه کار می کند؟
تفاوت بین احراز هویت و مجوز چیست؟
اهمیت کنترل دسترسی در انطباق با مقررات
جمع بندی

تعریف کنترل دسترسی (Access Control)

کنترل دسترسی (Access Control) یک فرآیند امنیت داده است که سازمان‌ها را قادر می‌سازد تا مدیریت کنند که چه کسانی مجاز به دسترسی به داده‌ها و منابع شرکت هستند. کنترل دسترسی ایمن از لایه‌هایی استفاده می‌کند که تأیید می‌کند سطوح کنترل دسترسی مناسب به کاربران اعطا می‌شود.

پیاده سازی کنترل دسترسی، یکی از اجزای حیاتی امنیت برنامه‌های کاربردی وب است که تضمین می کند فقط کاربران مناسب سطح مجازی از دسترسی به منابع را دارند. این فرآیند برای کمک به سازمان‌ها برای جلوگیری از نقض داده و مبارزه با Attack Vector، حمله سرریز بافر، krack attack، یا حمله فیشینگ حیاتی است .

اجزای کنترل دسترسی چیست؟

کنترل دسترسی از طریق چندین بخش مدیریت می‌شود:

احراز هویت: احرازهویت فرآیند اولیه تعیین هویت یک کاربر است. به عنوان مثال، هنگامی که کاربر با نام کاربری و رمز‌ عبور وارد سرویس ایمیل یا حساب بانکی آنلاین خود می‌شود، هویت او احراز شده است. با این حال، احراز هویت به تنهایی برای محافظت از داده‌های سازمان‌ها کافی نیست.
مجوز: مجوز یک لایه امنیتی به فرآیند احراز هویت اضافه می‌کند. وظیفه آن حقوق و امتیازات دسترسی به منابع است، که آیا کاربر باید به داده‌ها دسترسی داشته باشد یا باید فرآیند خاصی انجام دهد. به عنوان مثال، یک سرویس ایمیل یا یک حساب بانکی آنلاین می‌تواند از کاربران بخواهد تا احرازهویت دو مرحله‌ایی انجام دهند.
دسترسی: هنگامی که کاربر مراحل احرازهویت و مجوز را انجام می‌دهد، هویت او تأیید می‌شود. این فرآیند به کاربر امکان دسترسی به منابعی را می‌دهد که می‌خواهد وارد آن شود.
مدیریت: سازمان‌ها می‌توانند سیستم کنترل دسترسی خود را با افزودن یا حذف احرازهویت یا مجوز کاربران، سیستم‌های خود را مدیریت کنند. مدیریت این سیستم‌ها می‌تواند در محیط‌های فناوری اطلاعات مدرن که شامل سرویس‌های ابری و سیستم‌های داخلی است، پیچیده شود.
حسابرسی: این فرآیند به آن‌ها این امکان را می‌دهد که داده‌ها را در مورد فعالیت کاربر جمع‌آوری کرده و آن اطلاعات را برای کشف نقض‌های دسترسی احتمالی تجزیه و تحلیل کنند.

کنترل دسترسی چگونه کار می کند؟

کنترل دسترسی برای تأیید هویت کاربرانی که قصد ورود به منابع دیجیتال را دارند استفاده می‌شود. اما برای اعطای دسترسی به ساختمان‌ها و دستگاه‌های فیزیکی نیز استفاده می‌شود.

کنترل دسترسی فیزیکی

نمونه های رایج کنترل کننده‌های دسترسی فیزیکی عبارتند از:

Barroom bouncers: می‌تواند یک لیست از کنترل دسترسی برای تأیید شناسه‌ها ایجاد کند و تا اطمینان حاصل شود که افرادی که وارد میله‌ها (Bouncers) می‌شوند در سن قانونی هستن.
Subway turnstiles: این کنترل دسترسی در چرخ گردان‌های مترو استفاده می‌شود تا فقط به افراد تأیید شده اجازه استفاده از سیستم‌های مترو را بدهد. کاربران مترو کارت‌هایی را اسکن می‌کنند که بلافاصله کاربر را می‌شناسند و تأیید می‌کنند که اعتبار کافی برای استفاده از این سرویس را دارند.
Keycard or badge scanners in corporate offices: سازمان‌ها می‌توانند با استفاده از اسکنرهایی که کنترل دسترسی اجباری را ارائه می‌دهند از دفاتر خود محافظت کنند. کارمندان قبل از دسترسی به ساختمان باید یک کارت یا نشانی را اسکن کنند تا هویت خود را تأیید کنن.
Logical/information access control: کنترل دسترسی منطقی شامل ابزارها و پروتکل هایی است که برای شناسایی، احراز هویت و مجوز دادن به کاربران در سیستم های کامپیوتری استفاده می‌شوند. سیستم کنترل کننده دسترسی اقداماتی را برای داده‌ها، فرآیندها، برنامه‌ها و سیستم‌ها اعمال می کند.
Signing into a laptop using a password: یک شکل رایج از دست‌دادن داده‌ها از طریق گم شدن یا دزدیده شدن دستگاه‌ها است. کاربران می‌توانند با استفاده از رمز عبور داده‌های شخصی و شرکتی خود را ایمن نگه دارند.
Unlocking a smartphone with a thumbprint scan: تلفن‌های هوشمند می‌توانند با کنترل‌های دسترسی محافظت شوند که فقط به کاربر اجازه می‌دهد دستگاه را باز کند. کاربران می‌توانند با استفاده از بیومتریک، مانند اسکن اثر انگشت، تلفن‌های هوشمند خود را ایمن کنند تا از دسترسی غیرمجاز به دستگاه‌های خود جلوگیری کنند.

تفاوت بین احراز هویت و مجوز چیست؟

احرازهویت و مجوز، برای کنترل دسترسی در امنیت بسیار مهم است. احراز هویت فرآیند ورود به سیستم‌هایی مانند آدرس ایمیل، خدمات بانکداری آنلاین یا حساب رسانه‌های اجتماعی است. مجوز، فرآیند تأیید هویت کاربر برای ارائه یک لایه امنیتی اضافی است که کاربر همان چیزی که ادعا می‌کند باشد.

اهمیت کنترل دسترسی در انطباق با مقررات

کنترل دسترسی در کمک به سازمان‌ها برای رعایت مقررات مختلف حریم خصوصی داده‌ها بسیار مهم است. این موارد عبارتند از:

PCI DSS: یک استاندارد امنیتی است که از اکوسیستم کارت پرداخت محافظت می‌کند. سیستم کنترل دسترسی برای اجازه یا رد تراکنش‌ها و اطمینان از هویت کاربران است.
HIPAA: برای محافظت از اطلاعات بیمار در برابر افشای اطلاعات آن‌ها بدون رضایتشان ایجاد شده است. این کنترل دسترسی برای محدود کردن دسترسی به کاربران مجاز، حصول اطمینان از اینکه افراد نمی‌توانند به داده هایی که فراتر از سطح امتیاز آن‌ها است دسترسی داشته باشند و جلوگیری از نقض داده‌ها ضروری است.
SOC 2: یک روش حسابرسی است که برای ارائه دهندگان خدمات ابری طراحی شده است که داده‎‌های مشتری را در فضاهای ابری ذخیره می‌کنند. این تضمین می‌کند که ارائه‌دهندگان از حریم خصوصی مشتریان خود محافظت می‌کنند و سازمان‌ها را ملزم می‌کند تا سیاست‌ها و رویه‌های سخت‌گیرانه‌ای را در مورد داده‌های مشتری اجرا و دنبال کنند.
ISO 27001: استانداردهای امنیتی را تعریف می‌کند که سازمان‌ها در تمام صنایع باید از آن پیروی کنند و به مشتریان خود نشان دهند که امنیت را جدی می‌گیرند. ISO 27001 استاندارد طلایی ISO برای امنیت اطلاعات و گواهینامه انطباق است.

انواع مختلف کنترل های دسترسی چیست؟

انواع مختلفی از کنترل‌های دسترسی وجود دارد که سازمان‌ها می‌توانند برای محافظت از داده‌ها و کاربران خود پیاده سازی کنند. این موارد عبارتند از:

Attribute-based access control (ABAC): یک لایه پویا و مبتنی بر ویژگی‌هایی است که دسترسی را بر اساس سیاست‌های اعطا شده به کاربران تعریف می‌کند.
Discretionary access control (DAC): به مالک داده اجازه می‌دهد با اختصاص حقوق دسترسی به قوانینی که کاربران مشخص می‌کنند، کنترل دسترسی را تعیین کند. هنگامی که به یک کاربر اجازه دسترسی به یک سیستم داده می‌شود، می‌تواند آن‌طور که صلاح می‌داند به سایر کاربران دسترسی داشته باشد.
Mandatory access control (MAC): سیاست‌های سخت‌گیرانه‌ای را بر روی کاربران فردی و داده‌ها، منابع و سیستم‌هایی که می‌خواهند به آنها دسترسی داشته باشند، اعمال می‌کند. لایه‌ها توسط مدیر یک سازمان مدیریت می‌شوند. کاربران قادر به تغییر، لغو یا تنظیم مجوزها نیستند.

Role-based access control (RBAC): مجوزها را بر اساس گروه‌هایی از کاربران و نقش‌هایی که دارند و اقداماتی که انجام می‌دهند ایجاد می‌کند. کاربران قادر به انجام هر مجوز فعال شده برای نقش خود هستند و نمی توانند سطح کنترل دسترسی به آنها را تغییر دهند.
Break-glass access control: کنترل دسترسی (Break-glass) شامل ایجاد یک حساب اضطراری است که مجوزهای معمولی را دور می‌زند. در مواقع اضطراری، به کاربران اجازه دسترسی فوری به سیستم یا حسابی داده می‌شود که معمولاً مجاز به استفاده از آن نیستند.
Rule-based access control: یک رویکرد مبتنی بر قانون است که یک مدیر سیستم قوانینی را تعریف می‌کند که دسترسی به منابع شرکت را کنترل می‌کند. این قوانین معمولاً بر اساس شرایطی مانند مکان یا زمانی از روز که کاربران به منابع دسترسی دارند ساخته می‌شوند.

جمع بندی

کنترل دسترسی یک فرآیند امنیت داده است که سازمان‌ها را قادر می‌سازد تا مدیریت کنند که چه کسانی مجاز به دسترسی به داده‌ها و منابع شرکت هستند. این فرآیند یکی از مهم‌ترین بخش‌های امنیتی ‌سازمان‌ها می‌باشد تا بر روی کاربران و امنیتشان دسترسی داشته باشند.

Erfan Akbarieh