Autorizace určuje, co může ověřený uživatel dělat. Ověření otevírá dveře. Autorizace určuje, do kterých místností můžete vstoupit. Zaměstnankyně helpdesku se úspěšně přihlásí, ale to neznamená, že si může přečíst e-mail generálního ředitele nebo upravovat mzdové záznamy. Autorizace kontroluje její oprávnění před každým požadavkem a zamítá cokoli mimo její roli.

Běžné modely jsou založené na rolích a atributech. Řízení přístupu založené na rolích seskupuje oprávnění podle pracovní funkce. Každý účetní má stejnou sadu práv. Je to jednoduché a auditovatelné, ale může to být neúplné. Řízení přístupu založené na atributech vyhodnocuje zásady na základě mnoha faktorů: oddělení, úroveň oprávnění, denní doba a citlivost zdroje. Dodavatel má přístup k souborům projektu během pracovní doby ze spravovaného zařízení, ale ne z osobního notebooku o půlnoci. Nevýhodou je složitost. Zásady atributů se obtížněji píší a udržují. Většina organizací začíná s rolemi a přidává atributy tam, kde to riziko ospravedlňuje. Princip je v obou případech stejný: standardně zamítnout, udělit pouze to, co je potřeba, a pravidelně kontrolovat udělená oprávnění.

Nejlepší postupy pro autorizaci

• Ve výchozím nastavení zakázat – nic není povoleno, pokud to není výslovně povoleno
• Nejmenší oprávnění – minimální přístup pro danou úlohu
• Oddělení povinností – žádná osoba nekontroluje kritický proces od začátku do konce
• Pravidelné kontroly – odebrání přístupu při změně rolí

Selhání autorizace jsou tichá. Nikdo si nevšimne dodatečného oprávnění, dokud ho někdo nezneužije nebo ho nenajde auditor.