पहुंच नियंत्रण

सरल शब्दों में पहुंच नियंत्रण क्या है

पहुंच नियंत्रण नियमों, विधियों और प्रौद्योगिकियों का एक समूह है जो निर्धारित करता है कि किसे भौतिक क्षेत्र में प्रवेश करने या सूचना संसाधनों का उपयोग करने की अनुमति है। सरल शब्दों में, यह एक ऐसी प्रणाली है जो प्रश्नों का उत्तर देती है: "आप कौन हैं?", "पुष्टि करें कि यह आप हैं" और "आपको क्या करने की अनुमति है?"।

एक साधारण कार्यालय की कल्पना करें: प्रवेश द्वार पर एक सुरक्षा गार्ड है जो पास की जांच करता है। यह भौतिक पहुंच नियंत्रण है। डिजिटल दुनिया में सब कुछ वैसा ही है: जब आप किसी सिस्टम तक पहुंचने के लिए लॉगिन और पासवर्ड दर्ज करते हैं, तो आप डिजिटल पहुंच नियंत्रण से गुजरते हैं। इस प्रणाली के बिना, कोई भी आपके खाते या आपके परिसर में प्रवेश कर सकता है, और सुरक्षा जोखिम में होगी।

पहुंच नियंत्रण पहचान, प्रमाणीकरण और ऑडिट के साथ सूचना सुरक्षा सुनिश्चित करने का एक मौलिक तंत्र है। ये प्रक्रियाएं निकटता से संबंधित हैं: पहले सिस्टम उपयोगकर्ता की पहचान करता है (निर्धारित करता है कि वे कौन हैं), फिर उन्हें प्रमाणीकृत करता है (प्रामाणिकता की जांच करता है), और उसके बाद ही उन्हें अधिकृत करता है (विशिष्ट संसाधनों तक पहुंच की अनुमति या अस्वीकार करता है)।

प्रभावी पहुंच नियंत्रण जानकारी तक अनधिकृत पहुंच को रोकने, महत्वपूर्ण संसाधनों की सुरक्षा और नियामक आवश्यकताओं के अनुपालन को सुनिश्चित करने की अनुमति देता है। पहुंच नियंत्रण के बिना, आधुनिक कॉर्पोरेट IT अवसंरचना या भौतिक सुरक्षा प्रणाली की कल्पना करना असंभव है।

पहुंच नियंत्रण मॉडल

• डिस्क्रिशनरी पहुंच नियंत्रण (DAC): संसाधन का मालिक स्वयं पहुंच अधिकार निर्दिष्ट करता है। यह सबसे लचीला मॉडल है, लेकिन इसके लिए अधिकार प्रबंधन में मालिक की सक्रिय भागीदारी की आवश्यकता होती है। छोटे संगठनों और कम सुरक्षा आवश्यकताओं वाली प्रणालियों में उपयोग किया जाता है।
• मैंडेटरी पहुंच नियंत्रण (MAC): वस्तुओं और विषयों को निर्दिष्ट सुरक्षा लेबल के आधार पर पहुंच। सरकारी प्रणालियों और उच्च सुरक्षा आवश्यकताओं वाली प्रणालियों में उपयोग किया जाता है, जहां पहुंच स्तरों का सख्त पदानुक्रम आवश्यक है।
• भूमिका-आधारित पहुंच नियंत्रण (RBAC): अधिकार व्यक्तिगत उपयोगकर्ताओं को नहीं, बल्कि भूमिकाओं को निर्दिष्ट किए जाते हैं। यह कॉर्पोरेट प्रणालियों में सबसे आम मॉडल है, क्योंकि यह बड़े संगठनों में पहुंच प्रबंधन को सरल बनाता है। उदाहरण के लिए, "लेखाकार" और "प्रबंधक" भूमिकाओं के सिस्टम में अलग-अलग अधिकार होते हैं।
• विशेषता-आधारित पहुंच नियंत्रण (ABAC): विषय, वस्तु, क्रिया और पर्यावरण की विशेषताओं के आधार पर पहुंच। यह सबसे लचीला और आधुनिक मॉडल है, जो जटिल पहुंच नियम बनाने की अनुमति देता है। उदाहरण के लिए, पहुंच केवल काम के घंटों के दौरान, कॉर्पोरेट डिवाइस से और कार्यालय नेटवर्क से अनुमत हो सकती है।

मॉडल का चुनाव सुरक्षा आवश्यकताओं, सिस्टम आर्किटेक्चर और संगठन के आकार पर निर्भर करता है। बड़ी सरकारी प्रणालियां अक्सर संयुक्त दृष्टिकोणों का उपयोग करती हैं, उदाहरण के लिए, अधिक लचीले पहुंच प्रबंधन के लिए ABAC तत्वों के साथ RBAC।

इसके अलावा, विशेष मॉडल हैं, जैसे ग्रैन्युलर पहुंच (व्यक्तिगत रिकॉर्ड या फ़ील्ड के स्तर पर पहुंच) और गतिशील पहुंच (अधिकार वर्तमान स्थिति के आधार पर बदल सकते हैं)। एक विशिष्ट मॉडल का चुनाव खतरों और सुरक्षा आवश्यकताओं के गहन विश्लेषण पर आधारित होना चाहिए।

कार्यान्वयन उपकरण

• सॉफ़्टवेयर उपकरण: Active Directory, LDAP (Lightweight Directory Access Protocol), पहचान और पहुंच प्रबंधन प्रणालियां (IAM)। वे खातों और पहुंच अधिकारों के केंद्रीकृत प्रबंधन की अनुमति देते हैं।
• हार्डवेयर उपकरण: पहुंच नियंत्रण प्रणालियां (ACS), नियंत्रक, रीडर। वे सुविधाओं पर भौतिक पहुंच नियंत्रण प्रदान करते हैं।
• बायोमेट्रिक प्रणालियां: Biomark (फिंगरप्रिंट), Biovizum (चेहरा पहचान)। वे सुरक्षा का उच्च स्तर प्रदान करती हैं, क्योंकि बायोमेट्रिक विशेषताओं को जाली नहीं बनाया जा सकता या किसी अन्य व्यक्ति को स्थानांतरित नहीं किया जा सकता।
• दस्तावेज़ सत्यापन वर्कस्टेशन: ARM-1, ARM-2, चेकपॉइंट्स और पहचान सत्यापन प्रणालियों में उपयोग किए जाते हैं।

ये उपकरण अलग-अलग या एक साथ काम कर सकते हैं, जिससे एक एकीकृत पहुंच नियंत्रण प्रणाली बनती है। उदाहरण के लिए, एक बड़ा संगठन डिजिटल पहुंच नियंत्रण के लिए Active Directory और परिसर तक भौतिक पहुंच नियंत्रण के लिए बायोमेट्रिक्स के साथ एक ACS का एक साथ उपयोग कर सकता है।

डिज़ाइन सेवा में एक मॉडल का चुनाव, नीतियों का विकास और सभी घटकों का एक एकीकृत प्रणाली में एकीकरण शामिल है। यह एक जटिल कार्य है जिसके लिए कई कारकों पर विचार करने की आवश्यकता होती है: सुरक्षा आवश्यकताओं से लेकर बजट और मौजूदा IT अवसंरचना के आर्किटेक्चर तक। दृष्टिकोणों के बारे में तकनीक अनुभाग में अधिक पढ़ें।