ISO/IEC 29146:2016
(Main)Information technology — Security techniques — A framework for access management
Information technology — Security techniques — A framework for access management
ISO/IEC 29146:2016 defines and establishes a framework for access management (AM) and the secure management of the process to access information and Information and Communications Technologies (ICT) resources, associated with the accountability of a subject within some context. This International Standard provides concepts, terms and definitions applicable to distributed access management techniques in network environments. This International Standard also provides explanations about related architecture, components and management functions. The subjects involved in access management might be uniquely recognized to access information systems, as defined in ISO/IEC 24760. The nature and qualities of physical access control involved in access management systems are outside the scope of this International Standard.
Technologies de l'information — Techniques de sécurité — Cadre pour la gestion de l'accès
La présente Norme internationale définit et établit un cadre pour la gestion de l'accès (AM, access management) et la gestion sécurisée du processus d'accès à l'information et aux ressources des technologies de l'information et de la communication (TIC), associé à la responsabilité d'un sujet dans un certain contexte. La présente Norme internationale fournit des concepts, des termes et des définitions applicables aux techniques de gestion d'accès distribuée dans des environnements en réseau. La présente Norme internationale fournit également des explications concernant l'architecture, les composants et les fonctions de gestion associés. Les sujets impliqués dans la gestion d'accès peuvent être reconnus de manière unique pour accéder aux systèmes d'information, tel que défini dans l'ISO/IEC 24760. La nature et les qualités du contrôle d'accès physique intervenant dans les systèmes de gestion d'accès ne relèvent pas du domaine d'application de la présente Norme internationale.
General Information
Relations
Buy Standard
Standards Content (Sample)
DRAFT INTERNATIONAL STANDARD
ISO/IEC DIS 29146
ISO/IEC JTC 1/SC 27 Secretariat: DIN
Voting begins on: Voting terminates on:
2015-07-27 2015-10-27
Information technology - Security techniques - A
framework for access management
Technologies de l’information — Techniques de sécurité — Cadre pour gestion d’accès
ICS: 35.040
THIS DOCUMENT IS A DRAFT CIRCULATED
FOR COMMENT AND APPROVAL. IT IS
THEREFORE SUBJECT TO CHANGE AND MAY
NOT BE REFERRED TO AS AN INTERNATIONAL
STANDARD UNTIL PUBLISHED AS SUCH.
IN ADDITION TO THEIR EVALUATION AS
BEING ACCEPTABLE FOR INDUSTRIAL,
TECHNOLOGICAL, COMMERCIAL AND
USER PURPOSES, DRAFT INTERNATIONAL
STANDARDS MAY ON OCCASION HAVE TO
BE CONSIDERED IN THE LIGHT OF THEIR
POTENTIAL TO BECOME STANDARDS TO
WHICH REFERENCE MAY BE MADE IN
Reference number
NATIONAL REGULATIONS.
ISO/IEC DIS 29146:2015(E)
RECIPIENTS OF THIS DRAFT ARE INVITED
TO SUBMIT, WITH THEIR COMMENTS,
NOTIFICATION OF ANY RELEVANT PATENT
RIGHTS OF WHICH THEY ARE AWARE AND TO
©
PROVIDE SUPPORTING DOCUMENTATION. ISO/IEC 2015
ISO/IEC DIS 29146:2015(E)
© ISO/IEC 2015, Published in Switzerland
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized otherwise in any form
or by any means, electronic or mechanical, including photocopying, or posting on the internet or an intranet, without prior
written permission. Permission can be requested from either ISO at the address below or ISO’s member body in the country of
the requester.
ISO copyright office
Ch. de Blandonnet 8 • CP 401
CH-1214 Vernier, Geneva, Switzerland
Tel. +41 22 749 01 11
Fax +41 22 749 09 47
copyright@iso.org
www.iso.org
ii © ISO/IEC 2015 – All rights reserved
ISO/IEC DIS 29146
Contents Page
Foreword . vi
Introduction . vii
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 2
4 Symbols and abbreviated terms . 5
5 Concepts . 6
5.1 A model for controlling access to resources . 6
5.1.1 Overview . 6
5.1.2 Relationship between identity management system and access management system . 7
5.1.3 Security characteristics of the access method . 8
5.2 Relationships between logical and physical access control . 8
5.3 Access management system functions and processes . 8
5.3.1 Overview . 8
5.3.2 Access control policy . 9
5.3.3 Privilege management . 10
5.3.4 Policy related attribute information management . 11
5.3.5 Authorization . 12
5.3.6 Monitoring management . 13
5.3.7 Alarm management . 13
5.3.8 Federated Access Control . 14
6 Reference architecture. 15
6.1 Overview . 15
6.2 Basic service components . 15
6.2.1 Authentication endpoint . 15
6.2.2 Policy decision point (PDP) . 15
6.2.3 Policy information point (PIP) . 15
6.2.4 Policy administration point (PAP) . 16
6.2.5 Policy enforcement point (PEP) . 16
6.3 Additional service components . 16
6.3.1 Subject centric situation . 16
6.3.2 Enterprise situation . 18
7 Additional Requirements and Concerns . 19
7.1 Access to administrative information . 19
7.2 AMS models and policy issues . 19
7.2.1 Access control models . 19
7.2.2 Policies in access management . 19
7.3 Legal and regulatory requirements . 20
8 Practice . 21
8.1 Processes . 21
8.1.1 Authorization process. 21
8.1.2 Privilege management process . 21
8.2 Threats and countermeasures . 21
8.3 Control objectives . 23
8.3.1 Overview . 23
8.3.2 Validating the access management framework . 23
8.3.3 Validating the access management system . 26
8.3.4 Validating the maintenance of an implemented AMS . 29
Annex A Current access models (informative) . 32
A.1 General . 32
A.2 Access management models . 32
A.2.1 DAC . 32
A.2.2 MAC. 32
A.2.3 ABAC . 33
© ISO/IEC 2015 – All rights reserved iii
ISO/IEC DIS 29146
A.2.4 IBAC . 33
A.2.5 RBAC . 33
A.2.6 PBAC . 34
A.2.7 CBAC . 34
Bibliography . 35
iv © ISO/IEC 2015 – All rights reserved
ISO/IEC DIS 29146
Figures
Figure 1 – Access control model sequence . 6
Figure 2 – Identity management system and access management system relationship . 7
Figure 3 – Authorization of delegate access . 12
Figure 4 – Federated Access Control . 14
Figure 5 – AMS Reference Architecture . 15
Figure 6 – Components services interactions in subject centric situation . 16
Figure 7 – Components services interactions in enterprise situation . 18
© ISO/IEC 2015 – All rights reserved v
ISO/IEC DIS 29146
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are members of
ISO or IEC participate in the development of International Standards through technical committees
established by the respective organization to deal with particular fields of technical activity. ISO and IEC
technical committees collaborate in fields of mutual interest. Other international organizations, governmental
and non-governmental, in liaison with ISO and IEC, also take part in the work. In the field of information
technology, ISO and IEC have established a joint technical committee, ISO/IEC JTC 1.
International Standards are drafted in accordance with the rules given in the ISO/IEC Directives, Part 2.
The main task of the joint technical committee is to prepare International Standards. Draft International
Standards adopted by the joint technical committee are circulated to national bodies for voting. Publication as
an International Standard requires approval by at least 75 % of the national bodies casting a vote.
Attention is drawn to the possibility that some of the elements of this document may be the subject of patent
rights. ISO and IEC shall not be held responsible for identifying any or all such patent rights.
ISO/IEC 29146 was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, Information technology Subcommittee.
vi © ISO/IEC 2015 – All rights reserved
ISO/IEC DIS 29146
Introduction
Management of information security is a complex task that is based primarily on risk-based approach, and that
is supported by several security techniques. The complexity is handled by several supporting systems that
can automatically apply a set of rules or policies consistently.
Within the management of information security, access management plays a key role in the administration of
the relationships between the accessing party (subjects that can be human or non-human entities) and the
information technology resources. With the development of the Internet, information technology resources can
be located over distributed networks, and the access to them needs to be managed in conformity under a
policyand is expected to have common terms and models as a framework on access management.
Within the management of information security, identity management also plays a key role. Access
management is mediated through the identification and authentication of subjects that seek to access
information technology resources. This standard depends on the existence of an underlying identity
management system or identity management infrastructure. Regarding this topic, see references in no
...
INTERNATIONAL ISO/IEC
STANDARD 29146
First edition
2016-06-01
Information technology — Security
techniques — A framework for access
management
Technologies de l’information — Techniques de sécurité — Cadre
pour gestion d’accès
Reference number
©
ISO/IEC 2016
© ISO/IEC 2016, Published in Switzerland
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized otherwise in any form
or by any means, electronic or mechanical, including photocopying, or posting on the internet or an intranet, without prior
written permission. Permission can be requested from either ISO at the address below or ISO’s member body in the country of
the requester.
ISO copyright office
Ch. de Blandonnet 8 • CP 401
CH-1214 Vernier, Geneva, Switzerland
Tel. +41 22 749 01 11
Fax +41 22 749 09 47
copyright@iso.org
www.iso.org
ii © ISO/IEC 2016 – All rights reserved
Contents Page
Foreword .v
Introduction .vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Abbreviated terms . 4
5 Concepts . 5
5.1 A model for controlling access to resources . 5
5.1.1 Overview . 5
5.1.2 Relationship between identity management system and access
management system . 6
5.1.3 Security characteristics of the access method. 7
5.2 Relationships between logical and physical access control . 8
5.3 Access management system functions and processes . 8
5.3.1 Overview . 8
5.3.2 Access control policy . 9
5.3.3 Privilege management .10
5.3.4 Policy-related attribute information management .11
5.3.5 Authorization .12
5.3.6 Monitoring management .12
5.3.7 Alarm management .13
5.3.8 Federated access control.13
6 Reference architecture .14
6.1 Overview .14
6.2 Basic components of an access management system .15
6.2.1 Authentication endpoint .15
6.2.2 Policy decision point (PDP) .15
6.2.3 Policy information point (PIP) .15
6.2.4 Policy administration point (PAP) .15
6.2.5 Policy enforcement point (PEP) .16
6.3 Additional service components .16
6.3.1 General.16
6.3.2 Subject centric implementation . .16
6.3.3 Enterprise centric implementation .18
7 Additional requirements and concerns .19
7.1 Access to administrative information .19
7.2 AMS models and policy issues .19
7.2.1 Access control models .19
7.2.2 Policies in access management .20
7.3 Legal and regulatory requirements .20
8 Practice .20
8.1 Processes .20
8.1.1 Authorization process .20
8.1.2 Privilege management process .21
8.2 Threats .21
8.3 Control objectives .22
8.3.1 General.22
8.3.2 Validating the access management framework .22
8.3.3 Validating the access management system .25
8.3.4 Validating the maintenance of an implemented AMS .29
Annex A (informative) Current access models .31
© ISO/IEC 2016 – All rights reserved iii
Bibliography .35
iv © ISO/IEC 2016 – All rights reserved
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical
activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work. In the field of information technology, ISO and IEC have established a joint technical committee,
ISO/IEC JTC 1.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular the different approval criteria needed for
the different types of document should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject
of patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent
rights. Details of any patent rights identified during the development of the document will be in the
Introduction and/or on the ISO list of patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the meaning of ISO specific terms and expressions related to conformity
assessment, as well as information about ISO’s adherence to the WTO principles in the Technical
Barriers to Trade (TBT) see the following URL: Foreword - Supplementary information
The committee responsible for this document is ISO/IEC JTC 1, Information technology, Subcommittee
SC 27, IT Security techniques.
© ISO/IEC 2016 – All rights reserved v
Introduction
Management of information security is a complex task that is based primarily on risk-based approach
and that is supported by several security techniques. The complexity is handled by several supporting
systems that can automatically apply a set of rules or policies consistently.
Within the management of information security, access management plays a key role in the
administration of the relationships between the accessing party (subjects that can be human or non-
human entities) and the information technology resources. With the development of the Internet,
information technology resources can be located over distributed networks and the access to them
needs to be managed in conformity under a policy and is expected to have common terms and models
as a framework on access management.
Identity management is also an important part of access management. Access management is mediated
through the identification and authentication of subjects that seek to access information technology
resources. This International Standard depends on the existence of an underlying identity management
system or an identity management infrastructure (see references in Clause 2).
The framework for access management is one part of an overall identity and access management
framework. The other part is the framework for identity management, which is defined in ISO/IEC 24760.
This International Standard describes the concepts, actors, components, reference architecture,
functional requirements and practices for access control. Example access control models are included.
It focuses mainly on access control for a single organization, but adds other considerations for access
control in collaborative arrangements across multiple organizations.
vi © ISO/IEC 2016 – All rights reserved
INTERNATIONAL STANDARD ISO/IEC 29146:2016(E)
Information technology — Security techniques — A
framework for access management
1 Scope
This International Standard defines and establishes a framework for access management (AM) and
the secure management of the process to access information and Information and Communi
...
NORME ISO/IEC
INTERNATIONALE 29146
Première édition
2016-06-01
Technologies de l'information —
Techniques de sécurité — Cadre pour
la gestion de l'accès
Information technology — Security techniques — A framework for
access management
Numéro de référence
© ISO/IEC 2016
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2016
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii
© ISO/IEC 2016 – Tous droits réservés
Sommaire Page
Avant-propos .v
Introduction . vi
1 Domaine d'application .1
2 Références normatives .1
3 Termes et définitions . 1
4 Abréviations . 4
5 Concepts . 5
5.1 Modèle de contrôle d'accès aux ressources . 5
5.1.1 Vue d'ensemble. 5
5.1.2 Relation entre le système de gestion de l'identité et le système de gestion
d'accès . 6
5.1.3 Caractéristiques de sécurité de la méthode d'accès . 7
5.2 Relations entre le contrôle d'accès logique et physique . 8
5.3 Fonctions et processus du système de gestion d'accès . 8
5.3.1 Vue d'ensemble. 8
5.3.2 Règle de contrôle d'accès . 9
5.3.3 Gestion des privilèges . 10
5.3.4 Gestion des informations sur les attributs liés aux règles . 11
5.3.5 Autorisation .12
5.3.6 Gestion de la surveillance . 13
5.3.7 Gestion des alarmes . 14
5.3.8 Contrôle d'accès fédéré . 14
6 Architecture de référence .15
6.1 Vue d'ensemble . 15
6.2 Composants de base d'un système de gestion d'accès . 16
6.2.1 Appareil utilisateur d'authentification . 16
6.2.2 point de décision de règle (PDP) . 16
6.2.3 Point d'information de règle (PIP) . 16
6.2.4 Point d'administration de règle (PAP) . 16
6.2.5 Point d'application de règle (PEP) . 17
6.3 Composants de services supplémentaires . 17
6.3.1 Généralités . 17
6.3.2 Mise en œuvre centrée sur le sujet . 17
6.3.3 Mise en œuvre centrée sur l'entreprise . 19
7 Exigences et enjeux supplémentaires .20
7.1 Accès aux informations administratives . 20
7.2 Modèles d'AMS et enjeux de règle . 20
7.2.1 Modèles de contrôle d'accès . 20
7.2.2 Règles dans la gestion d'accès . 21
7.3 Exigences légales et réglementaires . 21
8 Mise en œuvre .22
8.1 Processus .22
8.1.1 Processus d'autorisation . 22
8.1.2 Processus de gestion des privilèges . 22
8.2 Menaces . 23
8.3 Objectifs des mesures. 24
8.3.1 Généralités . 24
8.3.2 Validation du cadre de gestion d'accès . 24
8.3.3 Validation du système de gestion d'accès. 26
8.3.4 Validation de la maintenance d'un AMS mis en œuvre .30
Annexe A (informative) Modèles d'accès actuels .33
iii
© ISO/IEC 2016 – Tous droits réservés
Bibliographie .37
iv
© ISO/IEC 2016 – Tous droits réservés
Avant-propos
L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l'ISO ou de l'IEC participent au développement de Normes internationales
par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l'IEC collaborent
dans des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l'IEC participent également aux travaux. Dans le domaine des
technologies de l'information, l'ISO et l'IEC ont créé un comité technique mixte, l'ISO/IEC JTC 1.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet
de droits de propriété intellectuelle ou de droits analogues. L'ISO et l'IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés
lors de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations
de brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la signification des termes et expressions spécifiques de l'ISO liés à l'évaluation
de la conformité, ou pour toute information au sujet de l'adhésion de l'ISO aux principes de l'Organisation
mondiale du commerce (OMC) concernant les obstacles techniques au commerce (OTC), voir le lien
suivant: Avant-propos - Informations supplémentaires
Le comité chargé de l'élaboration du présent document est l'ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Techniques de sécurité de l'information.
v
© ISO/IEC 2016 – Tous droits réservés
Introduction
La gestion de la sécurité de l'information est une tâche complexe qui s'appuie principalement sur
une approche de la gestion des risques et qui est soutenue par plusieurs techniques de sécurité. La
complexité est traitée par plusieurs systèmes d'appui qui peuvent appliquer automatiquement un
ensemble de règles ou de règles de manière régulière.
Dans le cadre de la gestion de la sécurité de l'information, la gestion d'accès joue un rôle clé dans
l'administration des relations entre la partie ayant accès (sujets pouvant être des entités humaines
ou non) et les ressources des technologies de l'information. Avec le développement de l'Internet, les
ressources des technologies de l'information peuvent être situées sur des réseaux distribués et l'accès à
ces ressources doit être géré conformément à une règle, et il est attendu que des termes et des modèles
communs servent de cadre pour la gestion de l'accès.
La gestion de l'identité constitue également une part importante de la gestion d'accès. La gestion d'accès
s'effectue par l'identification et l'authentification des sujets souhaitant accéder aux ressources des
technologies de l'information. La présente Norme internationale dépend de l'existence d'un système
de gestion de l'identité sous-jacent ou d'une infrastructure de gestion de l'identité (voir les références à
l'Article 2).
Le cadre pour la gestion de l'accès constitue une partie d'un cadre général de gestion de l'identité et de
l'accès. L'autre partie est le cadre pour la gestion de l'identité, défini dans l'ISO/IEC 24760.
La présente Norme interna
...
2023-03-23 Style Definition
...
Formatted: zzCover large
ISO/IEC 29146:2016(F)
Date: Première édition
2016-06-01
ISO/IEC JTC 1/SC 27
Secrétariat: DIN
Formatted: Cover Title_A1, Adjust space between Latin and
Technologies de l'information — Techniques de sécurité — Cadre
Asian text, Adjust space between Asian text and numbers
pour la gestion de l'accès
Technologies de l'information — Techniques de sécurité — Cadre pour la gestion de l'accès
ICS: 35.040
Type du document: Norme internationale
Sous-type du document:
Stade du document: (60) Publication
Langue du document: F
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© Information technology — Security techniques — A framework for access management
Type du document: Norme internationale
Sous-type du document:
Stade du document: (60) Publication
Langue du document: F
ISO/IEC 29146:2016(F) Formatted: Font: Bold
Formatted: Left
Formatted: Font: Bold
Formatted: Left: 53.85 pt, Right: 53.85 pt, Gutter: 0 pt,
© ISO/IEC 2016
Header distance from edge: 36 pt, Footer distance from
edge: 14.15 pt
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvreoeuvre, aucune
Formatted: Default Paragraph Font, English (United
partie de cette publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé,
Kingdom)
électronique ou mécanique, y compris la photocopie, l’affichageou la diffusion sur l’internet ou sur un
Formatted: Default Paragraph Font, English (United
Intranetintranet, sans autorisation écrite préalable. Les demandes d’autorisation peuventUne autorisation peut être
Kingdom)
adresséesdemandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
Formatted: Adjust space between Latin and Asian text,
Adjust space between Asian text and numbers
ISO copyright office
Formatted: English (United Kingdom)
CP 401 • • Ch. de Blandonnet 8
CH-1214 Vernier, GenèveGeneva
Formatted: zzCopyright address, Indent: First line: 0 pt,
Tél.: Phone: + 41 22 749 01 11 Adjust space between Latin and Asian text, Adjust space
between Asian text and numbers
Fax: + 41 22 749 09 47 Formatted: English (United Kingdom)
Formatted: English (United Kingdom)
E-mail: copyright@iso.org
Formatted: zzCopyright address, Indent: First line: 0 pt,
Adjust space between Latin and Asian text, Adjust space
Web: www.iso.org
between Asian text and numbers
Website: www.iso.org
Publié en Suisse Formatted: Indent: First line: 0 pt, Adjust space between
Latin and Asian text, Adjust space between Asian text and
numbers
Formatted: Left
Formatted: Font: 11 pt
© ISO/IEC 2016 – Tous droits réservés
iii
© ISO/IEC 2016 – Tous droits réservés iii
ISO/IEC 29146:2016(F) Formatted: Font: Bold
Formatted: Font: Bold
Sommaire Page
Avant-propos . viii
Introduction . ix
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Abréviations . 5
5 Concepts . 6
5.1 Modèle de contrôle d'accès aux ressources . 6
5.1.1 Vue d'ensemble . 6
5.1.2 Relation entre le système de gestion de l'identité et le système de gestion d'accès . 7
5.1.3 Caractéristiques de sécurité de la méthode d'accès . 8
5.2 Relations entre le contrôle d'accès logique et physique . 8
5.3 Fonctions et processus du système de gestion d'accès . 9
5.3.1 Vue d'ensemble . 9
5.3.2 Règle de contrôle d'accès . 9
5.3.3 Gestion des privilèges. 11
5.3.4 Gestion des informations sur les attributs liés aux règles . 12
5.3.5 Autorisation . 13
5.3.6 Gestion de la surveillance . 14
5.3.7 Gestion des alarmes . 15
5.3.8 Contrôle d'accès fédéré . 15
6 Architecture de référence . 16
6.1 Vue d'ensemble . 16
6.2 Composants de base d'un système de gestion d'accès . 17
6.2.1 Appareil utilisateur d'authentification . 17
6.2.2 point de décision de règle (PDP) . 17
6.2.3 Point d'information de règle (PIP) . 17
6.2.4 Point d'administration de règle (PAP) . 17
6.2.5 Point d'application de règle (PEP) . 18
6.3 Composants de services supplémentaires. 18
6.3.1 Généralités . 18
6.3.2 Mise en œuvre centrée sur le sujet . 18
6.3.3 Mise en œuvre centrée sur l'entreprise . 20
7 Exigences et enjeux supplémentaires . 22
7.1 Accès aux informations administratives . 22
Formatted: Font: 11 pt, English (United Kingdom)
© ISO/IEC 2016 – Tous droits réservés
iv
iv © ISO/IEC 2016 – Tous droits réservés
ISO/IEC 29146:2016(F) Formatted: Font: Bold
Formatted: Left
Formatted: Font: Bold
7.2 Modèles d'AMS et enjeux de règle . 22
7.2.1 Modèles de contrôle d'accès . 22
7.2.2 Règles dans la gestion d'accès. 23
7.3 Exigences légales et réglementaires . 23
8 Mise en œuvre . 24
8.1 Processus . 24
8.1.1 Processus d'autorisation . 24
8.1.2 Processus de gestion des privilèges . 24
8.2 Menaces. 25
8.3 Objectifs des mesures . 26
8.3.1 Généralités . 26
8.3.2 Validation du cadre de gestion d'accès . 26
8.3.3 Validation du système de gestion d'accès . 28
8.3.4 Validation de la maintenance d'un AMS mis en œuvre . 32
Annex A (informative) Modèles d'accès actuels . 36
A.1 Généralités . 36
A.2 Modèles de gestion d'accès . 36
A.2.1 Généralités . 36
A.2.2 Contrôle d'accès discrétionnaire (DAC) . 36
A.2.3 Contrôle d'accès obligatoire (MAC) . 36
A.2.4 Contrôle d'accès basé sur l'identité (IBAC) . 37
A.2.5 Contrôle d'accès basé sur le rôle (RBAC) . 37
A.2.6 Contrôle d'accès basé sur les attributs (ABAC) . 38
A.2.7 Contrôle d'accès basé sur le pseudonyme (PBAC) . 38
A.2.8 Contrôle d'accès basé sur les capacités (CBAC). 38
Bibliographie . 40
Avant-propos v
Introduction vi
1 Domaine d'application 1
2 Références normatives 1
3 Termes et définitions 1
4 Abréviations 5
5 Concepts 6
5.1 Modèle de contrôle d'accès aux ressources 6
5.1.1 Vue d'ensemble 6
Formatted: Left
5.1.2 Relation entre le système de gestion de l'identité et le système de gestion d'accès 7
Formatted: Font: 11 pt
© ISO/IEC 2016 – Tous droits réservés
v
© ISO/IEC 2016 – Tous droits réservés v
ISO/IEC 29146:2016(F) Formatted: Font: Bold
Formatted: Font: Bold
5.1.3 Caractéristiques de sécurité de la méthode d'accès 7
5.2 Relations entre le contrôle d'accès logique et physique 8
5.3 Fonctions et processus du système de gestion d'accès 8
5.3.1 Vue d'ensemble 8
5.3.2 Règle de contrôle d'accès 9
5.3.3 Gestion des privilèges 11
5.3.4 Gestion des informations sur les attributs liés aux règles 12
5.3.5 Autorisation 13
5.3.6 Gestion de la surveillance 13
5.3.7 Gestion des alarmes 14
5.3.8 Contrôle d'accès fédéré 14
6 Architecture de référence 15
6.1 Vue d'ensemble 15
6.2 Composants de base d'un système de gestion d'accès 15
6.2.1 Appareil utilisateur d'authentification 15
6.2.2 point de décision de règle (PDP) 15
6.2.3 Point d'information de règle (PIP) 16
6.2.4 Point d'administration de règle (PAP) 16
6.2.5 Point d'application de règle (PEP) 16
6.3 Composants de services supplémentaires 16
6.3.1 Généralités 16
6.3.2 Mise en œuvre cent
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.