Ролевое управление доступом (RBAC, Role Based Access Control) — это модель предоставления доступа, при которой весь доступ к информационным системам и ресурсам предоставляется только через роли. Роль представляет собой набор прав доступа. Пользователи получают доступ к системам и ресурсам исключительно через присвоенные им роли. Это означает, что права не закрепляются напрямую за пользователями, а устанавливаются через назначенные роли. Такая модель позволяет упростить управление доступом, особенно в крупных организациях, группируя права в логические наборы и привязывая их к должностям или функциональным обязанностям сотрудников.

ABAC (Attribute-Based Access Control) — это модель управления доступом, которая использует атрибуты субъектов, объектов, среды и времени для принятия решений о доступе. В отличие от RBAC (Role-Based Access Control), где доступ определяется ролями, ABAC проверяет комплексные условия, например, должность сотрудника, стоимость заказа, филиал, время суток или IP-адрес. Основное отличие заключается в том, что ABAC позволяет создавать динамические правила, учитывающие множество контекстных факторов, тогда как RBAC ограничивается статическими наборами прав, привязанными к ролям.

Мандатная модель (MAC) предполагает жёсткую привязку пользователей и информации к уровням допуска (например, 'секретно', 'совершенно секретно'). Все ресурсы одного уровня автоматически доступны всем, у кого есть мандат на этот уровень. Основной недостаток — негибкость: добавление новых классов секретности усложняет систему. Дискреционная модель (DAC) настраивает доступ на уровне отдельных объектов и операций для каждого пользователя через матрицу разрешений (таблицы доступа). Это даёт максимальную детализацию, но требует громоздкого администрирования при росте системы. Ролевая модель (RBAC) группирует права в бизнес-роли (например, 'бухгалтер', 'менеджер'). Пользователи получают доступ через назначение ролей, а не прямое управление объектами. Это сочетает структурированность (как в MAC) и управляемость (лучше, чем в DAC), так как изменения в правах вносятся на уровне ролей, а не пользователей. RBAC также поддерживает иерархию ролей и разделение полномочий, что недоступно в других моделях.

Основная разница заключается в том, что товар - это физический объект, который передается покупателю, и после покупки покупатель несет все затраты и риски, связанные с его использованием. Услуга же предполагает, что клиент не только получает некую ценность, но и перекладывает определенные затраты и риски на поставщика. При покупке услуги клиент получает доступ к ресурсу или сервисной операции, а не просто физический продукт. Например, при покупке шоколадки как товара клиент несет все риски и затраты по ее хранению, транспортировке и использованию, а при покупке шоколадки как услуги (Choco-as-a-Service) клиент перекладывает риски и затраты по доставке или обеспечению постоянного наличия шоколадки на поставщика.

RBAC (Role-Based Access Control) — это ролевая модель управления доступом, в которой доступ предоставляется не напрямую к объектам и операциям, а к определённым группам прав, объединённым по функциональному признаку (например, 'администратор системы', 'пользователь модуля N'). Основные преимущества RBAC по сравнению с другими моделями: наглядность (права структурированы по бизнес-ролям), простота назначения (администраторы работают с целыми группами прав, а не с отдельными объектами), соответствие бизнес-процессам и организационной структуре, возможность запрета использования смежных ролей для разделения полномочий, иерархия ролей (построение связок 'родительская-дочерняя') для наследования прав. В отличие от мандатной модели (MAC), где доступ зависит от уровня допуска пользователей и классификации информации, RBAC не требует жёсткой привязки к грифам секретности, что обеспечивает большую гибкость. В отличие от дискреционной модели (DAC), где настраиваются разрешения для каждого пользователя отдельно, RBAC избегает избыточной детализации и упрощает администрирование за счёт группировки прав в роли.

Бизнес-роль — это набор системных ролей из разных ИТ-систем, объединённых общей функцией в рамках бизнес-процесса или подразделения. Например, бизнес-роль 'Финансовый аналитик' может включать системные роли 'Пользователь модуля отчётности' (в ERP-системе) и 'Аналитик данных' (в BI-инструменте). Бизнес-роли отражают реальные задачи сотрудников, в то время как системные роли — технические права в рамках отдельных приложений. При масштабировании ролевой модели от уровня приложения до всего предприятия роль администратора управляет бизнес-ролями, которые автоматически распространяют доступ через связанные системные роли.

Для минимизации злоупотребления статусом 'Ожидание' рекомендуется: ограничить круг лиц, которые могут переводить задачи в этот статус (пример: только руководители групп после получения объяснений от сотрудников); ввести обязательное указание конкретной причины перевода с четкими требованиями к формулировкам; организовать регулярный контроль количества задач в статусе 'Ожидание' с выборочной проверкой обоснованности; устанавливать максимальные допустимые сроки нахождения в данном статусе; внедрить автоматические оповещения о продлении срока ожидания. Эффективность повышается при сочетании строгих прав доступа и регулярного аудита.

ITIL 4 определяет четыре аспекта управления ИТ-услугами, которые необходимо учитывать для целостного подхода: 1. Организации и люди - включают организационные структуры, операционные и ролевые модели, коммуникации, развитие сотрудников, культуру. 2. Информация и технологии - касаются инструментов предоставления услуг, систем хранения и обработки информации, технологических достижений включая ИИ и машинное обучение. 3. Поставщики и партнеры - охватывают отношения с внешними организациями, уровень интеграции и формальности взаимодействия, стратегию вовлечения поставщиков. 4. Потоки создания ценности и процессы - включают все виды деятельности, рабочие процессы, средства управления для достижения целей, комбинацию практик в цепочке создания ценности. Эти аспекты должны рассматриваться совместно и сбалансировано, так как они взаимосвязаны и перекрываются друг с другом.

Комбинирование RBAC и ABAC позволяет достичь значительного сокращения количества необходимых правил или ролей, сохраняя при этом гибкость системы. Например, в системе с 10 атрибутами (7 статическими и 3 динамическими) классическая ролевая модель потребовала бы 2^10 (1024) ролей, тогда как комбинированная модель требует всего 2^7 (128) ролей и 2^3 (8) атрибутных правил. Это существенное упрощение, так как большинство атрибутов в реальных системах (должность, подразделение и т.д.) являются статическими и редко меняются, а динамические атрибуты (например, время суток) требуют гораздо меньшего количества правил.

В роль-ориентированном подходе атрибуты используются для создания правил ограничения доступа, а роли по-прежнему содержат наборы прав доступа. Окончательный набор прав в пользовательской сессии формируется в результате пересечения прав, предоставляемых ролью пользователя, и тех прав, которые не запрещены атрибутными правилами. Это сохраняет преимущества ролевой модели (простота администрирования основных прав) и добавляет гибкость атрибутной модели (возможность накладывать контекстные ограничения).