Quase dois terços das empresas têm 1.000 ou mais arquivos de alto valor acessíveis a cada funcionário. Os sistemas de controle de acesso baseado em funções (RBAC) ajudam as organizações a:
- Atribua funções aos funcionários com base nas atribuições de seus cargos.
- Garantir que as funções e permissões sejam concedidas apenas aos funcionários apropriados.
Aqui estão 6 exemplos reais de implementações de RBAC, seus desafios, soluções e resultados.
Exemplos reais de RBAC
1. Banco Dresden
Grande banco europeu com 368 funções diferentes e 1.300 cargos.
Desafio: Gerenciamento manual de privilégios de acesso
Os privilégios de acesso de cada funcionário eram gerenciados manualmente no nível do aplicativo. O aumento do uso de aplicativos internos gerou uma sobrecarga administrativa significativa. Manter vários arquivos de privacidade no nível do aplicativo para cada usuário era ineficiente e não estava alinhado com a estrutura geral da política de segurança.
O banco alterou a estrutura, a administração e os conceitos de controle de seu sistema de segurança ao implementar o RBAC (Controle de Acesso Baseado em Funções).
Agrupamento específico de funcionários e funções: Antes do RBAC, os funcionários só podiam ser classificados com base na função, hierarquia e unidade organizacional. Com o RBAC, os funcionários recebem permissões de acesso específicas para cada grupo, com base em diferentes fatores (dados demográficos, departamento).
Estrutura de herança: Anteriormente, o banco não possuía uma estrutura de herança de cargos. O cargo de gerente financeiro não herdava a titularidade de cargos intimamente relacionados, como especialista contábil ou assistente de gerente de contabilidade.
O RBAC permitiu que o banco acessasse direitos herdados por meio da hierarquia de funções, possibilitando um controle de acesso refinado.
Exemplo: Antes da implementação do RBAC, o gerente financeiro precisava solicitar ao especialista contábil a edição das notas contábeis mensais. Agora, o gerente financeiro acessa as notas contábeis mensais diretamente, visto que seu cargo herda a função do especialista contábil. 1
2. Centro Médico Inter-religioso
Organização comunitária de saúde educacional com sede nos EUA, com várias unidades, 50.659 funcionários e 1.459 filiais em todo o mundo.
Desafio: Manter a conformidade com a HIPAA
A HIPAA exige a definição de controles internos baseados em funções para que os funcionários protejam os dados eletrônicos dos pacientes contra uso indevido.
Os administradores do Interfaith Medical Center tiveram que configurar manualmente o banco de dados para que apenas funcionários autorizados (codificadores médicos, gestores de saúde) tivessem acesso aos dados dos pacientes.
Solução e resultado: Os administradores de TI utilizaram recursos de gerenciamento em massa para criar, remover e editar diversas contas do Active Directory, definindo permissões de usuário específicas em uma única operação.
Gestão centralizada de acessos: Os administradores garantiram que todo o acesso à rede fosse feito por meio de logins exclusivos para cada funcionário, e não compartilhados.
Gerenciamento automatizado de RBAC: Após a implementação em massa do controle de acesso baseado em funções (RBAC), a empresa afirma que pode gerenciar com segurança mais de 1.000 objetos de usuário, mais de 750 caixas de correio e mais de 850 estações de trabalho com dois administradores de banco de dados (DBAs) e cinco especialistas em suporte técnico. 2
Muitos hospitais agora combinam o RBAC com acesso por tempo limitado. O cirurgião obtém acesso privilegiado apenas durante o período da cirurgia agendada, e as permissões são revertidas automaticamente após esse período.
Estrutura RBAC moderna na área da saúde:
Médicos:
- Acesso completo aos registros médicos dos pacientes
- Capacidade de prescrever medicamentos
Enfermeiros:
- Acesso aos planos de tratamento e aos sinais vitais
- Sem acesso à modificação do diagnóstico
Equipe administrativa:
- Acesso ao agendamento e faturamento
- Sem acesso a históricos médicos
Equipe de TI:
- Acesso à infraestrutura
- Sem visibilidade do conteúdo do paciente
3. Western Union
Empresa americana de serviços financeiros internacionais com mais de 5.000 funcionários, sediada em Denver, Colorado.
Desafios na operação de um repositório de identidades centralizado: Os sistemas atuais da empresa não permitiam a extração de dados de origem de diversos aplicativos no repositório de identidades, resultando em uma visão confusa dos controles de acesso dos usuários. Quando os gerentes solicitavam a correção de acessos, precisavam recorrer ao sistema de tickets; no entanto, o sistema não atualizava o perfil do usuário de forma eficaz.
Administração demorada dos controles de acesso: O tempo gasto administrando os controles de acesso e reagindo às mudanças regulatórias era longo. Cada novo funcionário precisava de acesso a 7 a 10 aplicativos e permissões relacionadas. O acesso era concedido manualmente, levando cerca de 20 minutos por pessoa para enviar uma solicitação e receber a aprovação inicial.
A empresa esperava poder verificar quem tem acesso a quais programas, serviços e arquivos, e como avaliar se esse acesso está em conformidade com a política de segurança.
Solução e resultado: A Western Union fez a transição para uma plataforma de gerenciamento de identidade e acesso (IAM) com recursos de controle de acesso baseado em funções (RBAC) para aproximadamente 750 aplicativos.
Visibilidade de rede aprimorada com um repositório de identidades: A Western Union começou a coletar todos os dados de identidade baseados em funções necessários dos sistemas de RH em um único repositório de identidades, permitindo uma visão completa dos privilégios de acesso dos usuários em um ambiente centralizado com mais de 600 aplicativos.
Gerenciamento robusto de banco de dados de usuários: A empresa afirma que a solução de gerenciamento de identidade baseado em funções simplificou o processo de provisionamento para departamentos que contratam novos funcionários rotineiramente. O provisionamento de 50 usuários agora leva 2,5 minutos, em vez de 14 minutos. 3
Bancos e empresas fintech agora tratam o RBAC como parte de um modelo de confiança zero com auditoria contínua.
Estrutura RBAC moderna para serviços financeiros:
Analistas de Fraude:
- Acesso a padrões de transação
- Não é possível iniciar transferências
Comerciantes:
- Pode executar negociações
- Não é possível modificar os modelos de risco.
Responsáveis pela Conformidade:
- Acesso somente leitura em todos os sistemas
- Visibilidade do registro de auditoria
Modelos de risco de IA:
- Executar em contas de serviço com funções de escopo restrito.
- Sem permissões de nível humano
As funções RBAC agora são auditadas continuamente. Se o comportamento de um funcionário se desviar do padrão normal de sua função, o acesso poderá ser temporariamente restringido até que a situação seja reavaliada.
4. Banco de grande porte (Equipe de Engenharia de Confiabilidade do Site)
Grande banco com uma equipe centralizada de engenharia de confiabilidade de sites (SRE) para supervisionar as operações de segurança de rede para todos os recursos dentro da empresa.
Desafio: Controles de acesso manual por meio de Kubernetes e implantação em nuvem
A manutenção manual da configuração de acesso em um número crescente de contas era:
- Propenso a erros
- Não cumpriu determinados controles de auditoria de rede.
Solução e resultado: O banco utilizou modelos para definir controles de acesso baseados em funções (RBAC) para a equipe de SRE e os atribuiu às contas da organização.
Controle aprimorado com modelos de política de acesso: O banco criou modelos para gerenciar clusters de Kubernetes e serviços em nuvem para instâncias do MongoDB em subcontas. Em seguida, atribuiu o modelo de perfil às contas de usuário e forneceu à equipe de SRE os modelos de política necessários. Finalmente, com os modelos de perfil baseados em funções, o acesso de SRE foi habilitado nas contas de usuário e os administradores de subcontas perderam a capacidade de alterar os controles de acesso. 4
A maioria das empresas opera em vários provedores de nuvem com mapeamento de permissões rigoroso.
Padrão RBAC de infraestrutura de nuvem moderna:
Arquitetos de Nuvem:
- Direitos totais de design e fornecimento
Engenheiros DevOps:
- Permissões de implantação e dimensionamento
- Sem autorização de faturamento
Equipe de Segurança:
- Aplicação de políticas e acesso à auditoria
- Sem direitos de criação de recursos
Desenvolvedores:
- Acesso específico ao ambiente (somente desenvolvimento/teste)
As organizações estão cada vez mais bloqueando "funções curinga". Cada permissão deve estar vinculada a uma função de negócios clara, reduzindo o impacto de contas comprometidas.
5. VLI
Operadora de logística ferroviária no Brasil. Administra sistema ferroviário, 100 locomotivas, mais de 6.000 vagões, com 8.000 funcionários e 1.000 terceirizados.
Desafio: Controles de acesso complexos na cadeia de suprimentos: A empresa teve dificuldades em atribuir acesso aos registros de movimentação e transações de mercadorias.
CISO da VLI: “Temos cerca de 9.000 funcionários que precisam usar vários sistemas para movimentar trens, e precisamos de um sistema controlado para melhor sincronização; os funcionários não podem esperar para ter acesso para descarregar o caminhão.”
Motoristas de caminhão e operadores de trem precisavam acessar constantemente os sistemas para obter informações e realizar transações como parte de sua rotina de transporte de carga, o que tornava o processo mais lento e reduzia a produtividade. Apesar da presença de grandes equipes de TI e desenvolvimento, não havia nenhum mecanismo para detectar ou rastrear indivíduos com privilégios de administrador que acessavam os servidores da VLI. 5
Solução e resultado: A VLI migrou para uma plataforma centralizada de controle de acesso de usuários.
Gerenciamento rápido de acesso de usuários: a VLI atingiu sua capacidade máxima de conceder acesso aos recursos relevantes aos usuários certos no momento certo. Reduzimos o tempo de resposta às solicitações de acesso de usuários de 5 dias para segundos.
Servidores seguros: Servidores seguros obtidos ao eliminar a necessidade de compartilhamento de informações de login autorizadas.
Redução do risco de ataques de malware e ransomware: Número limitado de usuários não administradores com acesso administrativo aos endpoints e listas configuradas de aplicativos e instruções confiáveis e não confiáveis, minimizando o risco de ataques cibernéticos.
6. Nine Entertainment
A maior empresa de mídia de capital nacional da Austrália.
Desafio: Permissões de Controle de Acesso : A manutenção de soluções personalizadas tornou-se um fardo enorme para a equipe técnica, visto que não conseguiam gerenciar milhares de permissões de controle de acesso.
Solução e resultado : A Nine Entertainment criou um diretório unificado com sincronização do Active Directory em tempo real e MFA para estabelecer procedimentos RBAC padronizados. 6
Gestão unificada de acesso: A empresa utiliza com eficiência mais de 200 conexões para fornecer acesso a mais de 50 aplicativos e vários sites WordPress com base em permissões personalizadas.
Controles de autenticação aprimorados: Com a implementação do software, os usuários da Nine Entertainment não precisam mais inserir códigos MFA; a autenticação ocorre sem problemas.
Exemplo: Com os recursos de gerenciamento de identidade e RBAC, a Nine Entertainment conseguiu detectar usuários que acessam o sistema de qualquer local, como o escritório em casa. Se o usuário precisar se cadastrar com autenticação baseada em identidade, ele é guiado por um procedimento de cadastro automatizado, baseado em assistente.
7. Empresa de SaaS
Empresa de SaaS de médio porte utiliza dezenas de ferramentas: repositórios Git, pipelines de CI/CD, bancos de dados de clientes, painéis de análise e sistemas de emissão de tickets.
RBAC na prática
Engenheiros de Backend:
- Acesso de leitura/gravação aos repositórios de código de produção.
- Acesso limitado a bancos de dados de produção (geralmente somente leitura).
- Sem acesso aos sistemas de faturamento ou de RH.
Gerentes de Produto:
- Acesso somente leitura a análises e registros.
- Acesso de escrita às ferramentas de configuração do produto
- Sem acesso ao código-fonte ou à infraestrutura.
Agentes de suporte ao cliente:
- Acesso a sistemas de emissão de bilhetes e dados de clientes mascarados
- Sem acesso direto ao banco de dados ou servidor.
Com a integração de IA em ferramentas de desenvolvimento, as empresas agora restringem quais funções podem acionar implantações automatizadas ou alterações de código orientadas por IA. O RBAC impede ações acidentais ou não autorizadas iniciadas por integrações de IA.
8. Plataforma de Comércio Eletrônico: Protegendo Sistemas Críticos para a Receita
Uma empresa de comércio eletrônico separa o acesso com base no risco de receita.
RBAC em ação
Equipe de Marketing:
- Acesso ao CMS, promoções e ferramentas de teste A/B.
- Sem acesso a mecanismos de precificação ou gateways de pagamento.
Equipe de Merchandising:
- Acesso ao catálogo de produtos e ao inventário
- Permissões de preços limitadas
Equipe de Finanças:
- Reembolsos, faturamento e conciliação
- Sem acesso a conteúdo ou campanha
Fornecedores terceirizados:
- Acesso temporário com restrição de função
- Não há movimento lateral entre os sistemas.
O RBAC agora está totalmente integrado aos sistemas de prevenção de fraudes. A mudança de função (por exemplo, um profissional de marketing auxiliando temporariamente o setor financeiro) aciona fluxos de trabalho de aprovação obrigatórios e registros mais detalhados.
9. Equipes de IA e Dados: Controlando o Modelo e o Acesso aos Dados
A adoção da IA obrigou as empresas a repensarem o RBAC (Controle de Acesso Baseado em Funções).
Configuração moderna de RBAC
Cientistas de Dados:
- Acesso a conjuntos de dados de treinamento
- Sem acesso aos identificadores brutos dos clientes.
Engenheiros de Aprendizado de Máquina:
- Permissões de implantação do modelo
- Acesso limitado aos dados
Analistas de negócios:
- Acesso somente ao painel de controle
- Nenhuma modificação de modelo ou dados
Agentes de IA:
- Funções de serviço com permissões de finalidade única
- Sem acesso entre sistemas
O RBAC agora se aplica a identidades não humanas com o mesmo rigor que aos funcionários.
O que é RBAC?
O controle de acesso baseado em funções (RBAC) é um modelo para gerenciar o acesso do usuário e proteger recursos como informações, aplicativos e sistemas contra acessos não autorizados.
Figura 1: Atribuição de funções no controle de acesso baseado em funções
Problemas sem RBAC
Aplicar o princípio do "privilégio mínimo" é difícil: os administradores não conseguem compreender as funções e permissões dos usuários. Podem não identificar o nível mínimo de acesso necessário para que um funcionário execute suas tarefas.
O processo de integração leva mais tempo: as permissões de novos funcionários são solicitadas individualmente por meio de formulários específicos.
As mudanças de emprego são complexas: controlar o acesso para pessoas que mudam de emprego exige solicitações de ajuste individualizadas.
Risco de acesso não autorizado: Pode envolver uso indevido, causando acesso espelhado (o acesso de Bert aparecendo como o de Eva).
Demonstração do RBAC: Atribuição de Funções e Permissões
Considere um consultório odontológico que utiliza um produto SaaS para administrar e promover serviços de saúde a potenciais clientes, com os seguintes módulos:
Módulo de faturamento: Recebe pagamentos de seguradoras e pacientes por serviços médicos cobertos por códigos de faturamento odontológico.
Módulo de vendas: Permite que clínicas odontológicas categorizem potenciais clientes de acordo com a probabilidade de compra de um produto/serviço.
Configurando permissões
Os administradores de consultórios odontológicos utilizam a interface do usuário do software para atribuir permissões de acesso a diversas funções administrativas.
Utilizando opções de arrastar e soltar, os administradores criam diferentes permissões: “visualizar”, “editar”, “criar” e “excluir”.
Permissões do módulo de faturamento (somente para o gerente de faturamento):
- visualizar: códigos_de_faturamento
- visualização: ID_do_cliente
- criar: fatura
Permissões do módulo de vendas (gerente de vendas):
- visualização: banco de dados de vendas
- criar: banco de dados de vendas
- editar: banco de dados de vendas
- excluir: banco de dados de vendas
Após definir as permissões, o administrador cria a função de "gerente de vendas" e atribui essas permissões a essa função, limitando o acesso de outros funcionários ao banco de dados de vendas.
Figura 2: Avaliando as políticas RBAC para o “gerente de vendas” com elementos da interface do usuário (IU).
Figura 3: Exemplo de como o arquivo data.json pode ser estruturado para as funções “billing_manager” e “sales_manager”:
5 benefícios do RBAC
1. Acesso Excessivo Limitado
Com a transição para infraestrutura em nuvem, aplicativos SaaS e autenticação única (SSO), indivíduos e grupos frequentemente herdam funções com acesso excessivo. O RBAC reduz esse risco definindo grupos e subgrupos para que os usuários tenham acesso apenas ao que precisam.
Exemplo: Usuários enviam imagens para um concurso de melhores fotos de viagem. Somente os jurados do concurso devem ver essas fotos. A política permite que qualquer pessoa na posição “travel_photo_judges” examine a foto “travel_photo1997.jpg”.
Isso é feito por meio da avaliação RBAC, que passa informações do grupo para o mecanismo de avaliação e determina se a entrada indicada na solicitação de permissão é um membro do grupo.
2. Políticas de Controle de Acesso Únicas
Os sistemas RBAC oferecem políticas de controle de acesso mais granulares e adaptadas às necessidades de uma empresa do que os sistemas mainframe.
Exemplo: Os administradores de sistemas RBAC utilizam funções para fins administrativos, restringindo o acesso à rede com base na função de um indivíduo, como "usuário convidado com permissões limitadas".
3. Suporte ao nível da aplicação
O RBAC ajuda as empresas a adotarem uma abordagem de acesso granular, oferecendo suporte a permissões no nível do aplicativo.
Exemplo: O RBAC pode atribuir um conjunto de permissões em um programa de escrita que permite aos usuários ler, editar e excluir conteúdo.
4. Atribuição flexível de funções
Os modelos RBAC estabelecem relações entre funções, permissões e usuários. Duas funções podem ser mutuamente exclusivas, permitindo que um único usuário tenha duas funções. As funções podem herdar permissões concedidas a outras funções.
Exemplo: Quando uma permissão é definida, ela pode ser atribuída a diversas funções. Matt pode ocupar cargos tanto de especialista administrativo quanto de especialista financeiro, enquanto Eva pode ocupar apenas um cargo de especialista financeiro.
5. Demonstração de Conformidade
A implementação do RBAC ajuda instituições financeiras e prestadores de serviços de saúde a demonstrarem conformidade com padrões técnicos e operacionais, incluindo HIPAA, PCI e PHI.
Por que usar RBAC?
O acesso não autorizado à rede foi responsável por 40% das intrusões cibernéticas de terceiros em 2023. Considerando que o acesso não autorizado é um dos principais fatores que levam a violações de dados, a implementação de RBAC (Controle de Acesso Baseado em Funções) é crucial, especialmente para empresas com muitos funcionários.
1. Segurança aprimorada
Risco minimizado de acesso não autorizado: Ao atribuir permissões com base em funções em vez de indivíduos, é mais fácil garantir que os usuários tenham acesso apenas às informações e aos recursos necessários para suas funções.
Aplicar o princípio do privilégio mínimo: os usuários recebem o nível mínimo de acesso necessário para desempenhar suas funções, reduzindo o risco de violações internas de dados e a exposição a informações confidenciais.
2. Gestão Simplificada
Facilidade de administração: Os administradores podem atribuir e gerenciar permissões de usuário facilmente por função, em vez de gerenciá-las individualmente.
Escalabilidade: À medida que as organizações crescem, novos usuários são rapidamente atribuídos a funções predefinidas, simplificando o processo de integração e garantindo políticas de controle de acesso consistentes.
3. Risco reduzido de erros
Controle centralizado: O gerenciamento centralizado de funções reduz o risco de erro humano na atribuição de permissões e garante que as políticas de acesso sejam aplicadas de forma consistente.
Responsabilidade clara: Com o RBAC, fica mais fácil determinar a responsabilidade e a prestação de contas pelo acesso a recursos sensíveis.
4. Cumprir as normas de conformidade
Conformidade regulatória: O RBAC ajuda as organizações a cumprir vários requisitos regulatórios, garantindo que o acesso a dados sensíveis seja controlado e documentado.
Trilhas de auditoria: A natureza do controle de acesso baseado em funções facilita o rastreamento e a auditoria de quem tem acesso a quais recursos, possibilitando um melhor monitoramento e geração de relatórios.
Futuro do RBAC
Em diversos setores, o RBAC passou de:
Títulos de cargos estáticos: Funções dinâmicas baseadas em tarefas
Permissões permanentes: Acesso temporário e contextual.
Controle exclusivamente humano: Governança de identidade humana e de IA
O RBAC não se resume mais a "quem pode fazer login". Trata-se de quem pode agir, quando e sob quais condições, com cada ação rastreável.
Leitura complementar
- As 10 principais ferramentas de microsegmentação
- Prevenção de intrusões: como funciona? & 3 métodos
- Controle de acesso baseado em funções (RBAC)
- Segmentação de rede: 6 benefícios e 8 melhores práticas
- Mais de 80 estatísticas sobre segurança de rede
- Soluções de gerenciamento de políticas de segurança de rede (NSPM)
- Os 10 melhores softwares de SDP com base em mais de 4.000 avaliações.
- As 10 melhores ferramentas de auditoria de segurança de rede, com base em 4.000 avaliações.
Links de referência
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios.