איך מנהלים הרשאות? תפיסת RBAC? אולי PBAC? | פרולינק ניהול זהויות | בקרת הרשאות

איזה מודל ניהול הרשאות מתאים? ואיך מאשרים הרשאות בלי לערב מנהלים בכל פעם?

מאמר רביעי בסדרה, על שילוב רכיבי אבטחת מידע וניהול זהויות.

נבחין קודם בין שני סוגי מערכות, בכל ארגון:

🏢 סוג 1: מערכות שדורשות ניהול הרשאות פנימי (המערכת עצמה קובעת מי יכול לעשות מה), לדוגמא: CRM, ERP ותיק, מערכות פיננסיות, מערכות Legacy, HR Core.

ההרשאות מנוהלות בתוך המערכת עצמה (Roles, פרופילים, תפריטים).
אין למערכת מסוגלות אמיתית לשאול גורם חיצוני אם למשתמש מותר לבצע את מה שביקש.
יש דרישה רגולטורית: מי ביקש גישה, מי אישר, למה, ומתי בוטל.

במקומות האלה שולטת בפועל גישת RBAC (ניהול הרשאות מבוסס תפקידים) בארגון: "תפקיד עסקי" מוגדר, והוא מגיע עם "חבילת הרשאות" מוכנה שמשויכת למשתמש.

בפועל – זה לרוב מיושם במערכת ניהול זהויות ארגונית (IGA)אשר מקצה ומסירה הרשאות לפי מדיניות, מתעדת מי אישר למי גישה ולמה (עמידות רגולטורית), מזהה הפרות SoD רוחביות, מיישמת מחזור חיי זהות: קליטה, שינוי תפקיד, עזיבה.

חשוב: IGA לא עוצרת פעולה בזמן אמת בתוך האפליקציה. התפקיד שלה הוא ממשל ובקרה: מי מחזיק איזו הרשאה, האם זה עומד במדיניות, ואיך מצדיקים את זה מול רגולטור.

🌐 סוג 2: מערכות שמבצעות בדיקת הרשאה חיצונית בזמן אמת (המערכת שואלת מנוע חיצוני לפני כל פעולה: לאשר או לחסום עכשיו)
זה נפוץ יותר בסביבות מודרניות: SaaS למיניהם, , API גישה למשאבים רגישים, פעולות אדמיניסטרציה.

עיקרון הפעולה של מערכות אלו:

המערכת לא שומרת בעצמה את כל הלוגיקה של "מי רשאי".
בכל ניסיון לבצע פעולה, היא פונה למנוע החלטות חיצוני.
ההחלטה מתקבלת לפי הקשר וסיכון, לא רק לפי "מה התפקיד שלך"

ישנם כמה מודלים לקבלת החלטות חיצוניות (כמו: ABAC / PBAC / ReBAC ), שמספקים החלטת גישה בזמן אמת, לפי מאפיינים כמו:

מאיפה המשתמש מתחבר כרגע?
האם עמדת העבודה / המכשיר עומדת במדיניות הארגון?
הקשר העסקי של המשתמש למשאב או המידע המבוקש

כך מתאפשרת מניעת גישה ברמת הפעולה, ברגע האמת, וכך בהחלט ניתן לחסוך ניהול מסובך של הרשאות בתוך מערכות שתומכות בכך.

חשוב: המנוע הזה לא מחליף IGA. הוא לא מתעד היסטוריית אישורי מנהלים ולא מנהל מי רשאי להחזיק איזה סט הרשאות לאורך זמן.

🎯 אינטגרציה: מערכת IGA מחוברת למנוע החלטה בזמן אמת

שילוב נכון יתרום בשני כיוונים:

כיוון ראשון: מנוע ההחלטות בזמן אמת מחזק את מערכת ה- IGA:

פחות אישורים ידניים. במקום כל פעם "תאשר לי כדי שאוכל לעבוד", מערכת ה- IGA יכולה לאשר או לדחות אוטומטית לפי מדיניות.
פחות עומס על מנהלים בביקורות תקופתיות.
זיהוי חריגות מהר: אם צצה הרשאה חדשה במערכת קצה, מערכת ה- IGA כבר בודקת אם זה חורג מהמדיניות לפני שיש שימוש בהרשאה.

כיוון שני: מערכת IGA מזינה את מנוע ההחלטות בנתוני סיכון זהויות:

ציון סיכון למשתמש
הפרות SoD רוחביות
צבירת הרשאות לא סבירה

המידע הזה נכנס להחלטה בלייב: לאשר, לחסום, או לחייב MFA.

💡 סיכום תועלות

שליטה ובקרה שמחזיקות מול רגולטור, פחות תלות במנהלים כצוואר בקבוק תפעולי, וזמן חשיפה נמוך יותר להרשאות חריגות.

🧩מה הלאה?

עוד נראה תנודות משמעותיות בניהול הרשאות, שידחפו יותר קבלת החלטות בזמן אמת ופחות תלות באישור ידני. אבל בעתיד הנראה לעין, שילוב הגישות הקיימות הוא המהלך הפרקטי.

קישור למאמרים בסדרה: