Что такое управление доступом: модели и принципы

Управление доступом — это процесс, который определяет, кто получает доступ к ресурсам информационной системы, при каких условиях и с какими правами; в основе процесса лежит модель AAA — аутентификация (проверка личности), авторизация (назначение прав) и аудит, или accounting (учёт того, что пользователь сделал). Термин «управление доступом» и его английский эквивалент access control используют как зонтичное понятие: оно объединяет и саму политику («кому что можно»), и технические средства, которые эту политику применяют.

Полный разбор первых двух букв AAA — идентификации, аутентификации и авторизации, факторов проверки и протоколов — вынесен в отдельный материал: идентификация, аутентификация, авторизация. Управление доступом добавляет к этой триаде слой правил: именно здесь решается, по какому принципу выдаются права — вручную владельцем ресурса, централизованной политикой, через роль сотрудника или динамически по контексту запроса. Эти принципы и описывают четыре модели ниже.

Четыре модели задают разные правила того, кто принимает решение о доступе и на основании чего: в DAC решает владелец ресурса, в MAC — централизованная политика по меткам конфиденциальности, в RBAC — роль пользователя, в ABAC — комбинация атрибутов субъекта, объекта и контекста запроса. Модели не взаимоисключающие: реальные системы часто комбинируют несколько сразу, например RBAC как основу и ABAC — как дополнительный слой контекстных правил поверх неё.

↔ таблицу можно прокрутить вбок

DAC и MAC исторически старше остальных — обе модели описаны ещё в 1970–80-х годах в рамках ранних стандартов защиты информации США (в частности, «Оранжевой книги» Минобороны США). RBAC формализован национальным стандартом США ANSI INCITS 359-2012 и остаётся моделью по умолчанию для большинства корпоративных систем. ABAC — самая молодая и гибкая модель, её определение и рекомендации по внедрению задаёт NIST SP 800-162; именно ABAC чаще всего лежит в основе динамической проверки каждого запроса в архитектуре Zero Trust.

Три принципа задают базовую логику любой политики доступа независимо от модели: наименьшие привилегии — давать ровно тот минимум прав, который нужен для задачи; разделение обязанностей — не позволять одному человеку в одиночку выполнить критичную операцию целиком; need-to-know — доступ к данным только тем, кому он нужен по работе. Все три принципа применимы и к DAC, и к MAC, и к RBAC, и к ABAC — они описывают не механизм назначения прав, а то, каким должен быть их итоговый объём.

Ни один отдельный продукт не реализует управление доступом целиком — на практике это связка из нескольких классов средств защиты, каждый закрывает свой участок задачи. В Реестре российского ПО для этой широкой предметной области есть общий класс — 03.12 «Управление доступом», в котором на июль 2026 года зарегистрировано 225 продуктов; классификация объединяет IdM, PAM, SSO, MFA и другие смежные средства, а не выделяет их по отдельности.

• IdM ведёт полный жизненный цикл обычных учётных записей — заводит доступ при приёме на работу, меняет права при переводе, отзывает при увольнении, обычно по ролевой модели (RBAC).
• PAM отдельно контролирует привилегированный доступ — администраторов серверов и баз данных, подрядчиков с доступом к инфраструктуре: хранит пароли в защищённом сейфе с ротацией и записывает административные сессии.
• СЗИ от НСД разграничивает доступ на уровне рабочей станции и сервера по дискреционной и мандатной моделям (DAC/MAC) — обязательное требование ФСТЭК для аттестации ИСПДн, ГИС и значимых объектов КИИ.
• SSO даёт единую точку входа к уже назначенным правам: не заменяет авторизацию, а переносит аутентификацию на один вход вместо повторного ввода пароля в каждом приложении.
• MFA усиливает именно этап аутентификации внутри AAA — требует подтвердить личность вторым независимым фактором, а не только паролем.
• NAC решает вопрос доступа на сетевом уровне — какое устройство и в каком состоянии вообще допускается в сеть, ещё до того, как дойдёт до приложений и данных.

Современный подход к сборке всех шести классов в единую архитектуру — Zero Trust: вместо разового доверия при входе каждый запрос проверяется заново, обычно по атрибутной модели (ABAC), с учётом устройства, местоположения и поведения пользователя.