Politique de sécurité

Dans un système mettant en jeu des ressources partagées entre différents utilisateurs et applications, la gestion des autorisations intervient quand tout le monde n'a pas un accès total à toutes les ressources. On comprend bien l'intérêt d'autoriser ou interdire certaines actions en fonction de celui qui souhaite la réaliser, et sur qui.

On définit alors une politique de sécurité, c'est-à-dire « l'ensemble des lois, règlements et pratiques qui régissent la façon dont sont gérés, protégés et diffusés les informations et les autres biens sensibles au sein d'un système particulier. ». Un modèle décrit donc les règles d'accès à une information ou une ressource, ainsi que les propriétés de sécurité à vérifier et appliquer pour chaque accès. L'établissement d'une politique de sécurité suit une certaine méthodologie, standardisée par la DCSSI peut être consultée en ligne.

Afin de formaliser les politiques ainsi établies, de nombreux modèles ont été développés, afin de répondre aux différents besoins des organisations :

• DAC, pour Discretionary Access Control, qui définit les autorisations d'accès pour chaque utilisateur et chaque objet du système à protéger.
• MAC, pour Mandatory Access Control, qui applique un contrôle de flux en classifiant les objets et habilitant les utilisateurs.
• RBAC, pour Role-Based Access Control, qui complète le modèle DAC en introduisant la notion de rôles.
• ABAC, pour Attributes-Based Access Control, développé pour répondre aux problématiques de contrôle d'accès dans des contextes dynamiques tels que les services Web.
• OrBAC, pour Organization-Based Access Control, qui se centralise sur l'organisation déployant la politique.