RBAC ย่อมาจาก Role-based Access Control (การควบคุมการเข้าถึงแบบบทบาท) ยังเรียกว่าความปลอดภัยแบบบทบาท (Role-based Security) เป็นวิธีการควบคุมการเข้าถึงที่สร้างสิทธิ์ให้กับผู้ใช้ปลายทางขึ้นอยู่กับบทบาทของพวกเขาภายในองค์กร RBAC ให้การควบคุมที่ละเอียด ให้วิธีการที่เรียบง่าย สามารถควบคุมได้ สำหรับการบริหารการเข้าถึงที่น้อยกว่าการกำหนดสิทธิ์แต่ละรายบุคคล
สิ่งนี้สามารถลดความเสี่ยงด้านไซเบอร์ (Cybersecurity Risk) ปกป้องข้อมูลที่ละเอียดอ่อน และรับรองว่าพนักงานสามารถเข้าถึงข้อมูลและดำเนินการเฉพาะสิ่งที่พวกเขาต้องทำเพื่อทำงานของพวกเขาเท่านั้น สิ่งนี้เรียกว่าหลักการสิทธิ์น้อยที่สุด (Principle of Least Privilege)
บทบาทใน RBAC ตั้งอยู่บนหลายองค์ประกอบ เช่น การอนุญาต (Authorization) ความรับผิดชอบ (Responsibility) และความเชี่ยวชาญด้านงาน (Job Specialization) องค์กรโดยทั่วไปกำหนดบทบาทสำหรับผู้ใช้หลายคน เช่น ผู้ใช้ปลายทาง (End-user) ผู้ดูแลระบบ (Administrator) หรือผู้ใช้ผู้เชี่ยวชาญ (Specialist User) ความสามารถในการดู สร้าง หรือเปลี่ยนไฟล์ภายในบทบาทก็สามารถจำกัดได้สำหรับงานเฉพาะ
ในระบบ RBAC การจัดเตรียมการเข้าถึงของผู้ใช้ (User Access Provisioning) ขึ้นอยู่กับความต้องการของกลุ่ม (เช่น แผนกการตลาด) ตามความรับผิดชอบและข้อกำหนดร่วมกัน นี่หมายความว่าแต่ละบทบาทได้รับการมอบหมายชุดของสิทธิ์ และบุคคลสามารถถูกสร้างให้เป็นหนึ่งหรือมากกว่าบทบาท
ตัวอย่างเช่น สามารถกำหนดผู้ใช้เป็นผู้ดูแลระบบ ผู้เชี่ยวชาญ หรือผู้ใช้ปลายทาง และจำกัดการเข้าถึงทรัพยากรหรืองานเฉพาะ ภายในองค์กร บทบาทที่ต่างกันสามารถให้สิทธิ์เขียน (Write Access) ในขณะที่บางบทบาทอาจได้รับอนุญาตให้มีสิทธิ์ดู (Viewing Permissions) เท่านั้น
ความสัมพันธ์ระหว่างผู้ใช้-บทบาท (User-role) และบทบาท-สิทธิ์ (Role-permissions) ทำให้การดำเนินการมอบหมายบทบาทง่ายขึ้น เพราะผู้ใช้รายบุคคลไม่มีสิทธิ์การเข้าถึงที่ไม่ซ้ำกันอีกต่อไป แต่พวกเขามีสิทธิประโยชน์ที่สอดคล้องกับสิทธิ์ที่มอบหมายให้กับบทบาทเฉพาะหรือหน้าที่งานของพวกเขา
การควบคุมการเข้าถึงแบบบทบาทช่วยให้เราปรับปรุงท่าทางความปลอดภัย (Security Posture) ปฏิบัติตามกฎระเบียบที่เกี่ยวข้อง และลดค่าใช้จ่ายในการดำเนินงาน (Operational Overhead) อย่างไรก็ตาม การดำเนินการควบคุมการเข้าถึงแบบบทบาทข้ามทั้งองค์กรอาจซับซ้อน และอาจทำให้เกิดการต้านทานจากผู้มีส่วนได้ส่วนเสีย (Stakeholders)
มาตรการควบคุมการเข้าถึง (Access Control Measures) ควบคุมสิทธิ์ของผู้ใช้ รวมถึงว่าใครสามารถดูข้อมูลที่ละเอียดอ่อนบนระบบคอมพิวเตอร์ หรือใครสามารถรันบริการเฉพาะใน CRM ได้ พวกเขาเป็นส่วนสำคัญของการลดความเสี่ยงทางธุรกิจ ระบบควบคุมการเข้าถึงสามารถเป็นทางกายภาพ (จำกัดการเข้าถึงอาคาร ห้อง หรือเซิร์ฟเวอร์) หรือเชิงตรรกะ (Logical - ควบคุมการเข้าถึงดิจิทัลไปยังข้อมูล เอกสาร หรือเครือข่าย)
วิธีการของ Role Based Access Control ให้การเข้าถึงทรัพยากรการคอมพิวติ้งคลาวด์ (หรือกลุ่มของทรัพยากร) ขึ้นอยู่กับบทบาทของผู้ใช้ภายในองค์กร ด้วยบุคคลในแต่ละบทบาทได้รับความยืดหยุ่นและสิทธิ์เพียงพอที่จะดำเนินการงานที่จำเป็นสำหรับงานของพวกเขา องค์กรลดพื้นที่การโจมตีและระดับความเปราะบางต่อการโจมตีไซเบอร์ลง
ใน RBAC แต่ละองค์กร IT สามารถสร้างคุณสมบัติของตัวเองสำหรับแต่ละบทบาทได้ บทบาทบนเครือข่ายสามารถสอดคล้องโดยตรงกับบทบาทงานภายในองค์กร หรือพวกเขาสามารถเพียงแค่นิยามชุดของสิทธิ์ที่อาจถูกมอบหมายหรืออนุญาตให้กับบุคคลขึ้นอยู่กับปัจจัยอื่น
