Control de acceso basado en roles

Modelo de permisos en el que el acceso se asigna a roles y los usuarios reciben permisos al pertenecer a esos roles, en lugar de configurarlos individualmente uno a uno. «Control de acceso basado en roles» es un control o principio de seguridad y privacidad que debe concretarse en decisiones de arquitectura, configuración y operación. No basta con declararlo en una política: debe poder identificarse dónde se aplica, quién lo administra, cómo se revisa y qué evidencia acredita su funcionamiento. La intensidad del control debe ser proporcional al riesgo y a los datos tratados.

RBAC permite asignar permisos a perfiles —por ejemplo, administrador, revisor y usuario— y no gestionar cada permiso individual de cada persona.

Importa siempre que el sistema trate información, usuarios o permisos cuyo uso indebido pueda causar un impacto. La relevancia aumenta con datos personales, acciones privilegiadas, conexiones externas o automatizaciones capaces de modificar información.

No debe utilizarse como sinónimo de «Autorización». Este último se refiere a proceso de determinar qué recursos, datos o acciones puede utilizar una identidad una vez autenticada. «Control de acceso basado en roles» tiene un alcance distinto y debe conservarse como concepto propio para evitar decisiones o búsquedas ambiguas.

El rol “editor” puede crear y modificar borradores, mientras que “owner_admin” puede publicarlos; los permisos se asignan al rol, no uno a uno.