RBAC คืออะไร? — การกำหนดสิทธิ์ตามบทบาท

สรุปสั้น: RBAC = กำหนดสิทธิ์ตาม "บทบาท" (Role) ไม่ใช่ตาม "คน" (User) ทำให้เพิ่ม-ลดคนได้ง่าย แค่กำหนด Role ให้ตรง สิทธิ์ทั้งหมดจะตามมาอัตโนมัติ

ทำไมต้องใช้ RBAC ในระบบ ERP?

ระบบ ERP มีข้อมูลสำคัญหลายประเภท ตั้งแต่ข้อมูลทางการเงิน ข้อมูลพนักงาน ไปจนถึงข้อมูลจัดซื้อจัดจ้าง หากทุกคนเข้าถึงข้อมูลทุกอย่างได้ ความเสี่ยงด้าน ความปลอดภัย จะสูงมาก RBAC ช่วยแก้ปัญหานี้โดยให้แต่ละคนเห็นเฉพาะข้อมูลที่เกี่ยวข้องกับหน้าที่ของตน ทำให้เป็นไปตามหลัก Least Privilege (สิทธิ์น้อยที่สุดเท่าที่จำเป็น)

องค์ประกอบของ RBAC

RBAC ประกอบด้วย 3 องค์ประกอบหลัก ที่ทำงานร่วมกัน:

ตัวอย่าง RBAC ใน Saeree ERP

ตัวอย่างการกำหนดสิทธิ์ตามบทบาทในระบบ Saeree ERP สำหรับหน่วยงานรัฐ:

สังเกตว่าผู้ดูแลระบบ (Admin) สามารถตั้งค่าระบบได้ แต่ ไม่มีสิทธิ์อนุมัติเอกสาร — นี่คือหลักการ Separation of Duties ที่ป้องกันการทุจริต

RBAC vs DAC vs MAC — เปรียบเทียบรูปแบบการกำหนดสิทธิ์

ประโยชน์ของ RBAC ในหน่วยงานรัฐ

• ลดความเสี่ยงด้านข้อมูลรั่วไหล — แต่ละคนเห็นเฉพาะข้อมูลที่เกี่ยวข้องกับงาน ข้อมูลเงินเดือนหรือข้อมูลจัดซื้อไม่หลุดไปคนที่ไม่เกี่ยวข้อง
• รองรับการตรวจสอบ (Audit) — ระบบบันทึกว่าใคร (User) มี Role อะไร ทำอะไรในระบบ ตรวจสอบย้อนหลังได้ทุกรายการ
• จัดการง่ายเมื่อคนย้ายตำแหน่ง — แค่เปลี่ยน Role ไม่ต้องตั้งค่าสิทธิ์ทีละรายการ เช่น คนย้ายจากฝ่ายพัสดุไปฝ่ายบัญชี แค่เปลี่ยน Role จาก "เจ้าหน้าที่พัสดุ" เป็น "นักบัญชี"
• สอดคล้องกับ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) — RBAC ช่วยให้องค์กรจำกัดการเข้าถึงข้อมูลส่วนบุคคลเฉพาะผู้ที่มีความจำเป็น
• ใช้ร่วมกับ Two-Factor Authentication (2FA) — RBAC กำหนด "เห็นอะไรได้บ้าง" ส่วน 2FA กำหนด "ยืนยันตัวตนอย่างไร" ใช้คู่กันเพื่อความปลอดภัยสูงสุด

แหล่งอ้างอิง

• NIST — Role-Based Access Control (RBAC)
• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล — PDPA Thailand