Autorisation bestemmer, hvad en godkendt bruger kan gøre. Godkendelse åbner døren. Autorisation bestemmer, hvilke rum du kan få adgang til. En helpdesk-medarbejder logger ind, men det betyder ikke, at hun kan læse administrerende direktørs e-mail eller ændre lønregistreringer. Autorisation kontrollerer hendes tilladelser før hver anmodning og afviser alt uden for hendes rolle.

De almindelige modeller er rollebaserede og attributbaserede. Rollebaseret adgangskontrol grupperer tilladelser efter jobfunktion. Alle revisorer får det samme sæt rettigheder. Det er enkelt og reviderbart, men det kan være groft. Attributbaseret adgangskontrol evaluerer politikker ud fra mange faktorer: afdeling, godkendelsesniveau, tidspunkt på dagen og ressourcens følsomhed. En leverandør kan få adgang til projektfiler i åbningstiden fra en administreret enhed, men ikke fra en personlig bærbar computer ved midnat. Ulempen er kompleksitet. Attributpolitikker er sværere at skrive og vedligeholde. De fleste organisationer starter med roller og tilføjer attributter, hvor risikoen berettiger det. Princippet er det samme under alle omstændigheder: afvis som standard, tildel kun det, der er nødvendigt, og gennemgå tildelinger regelmæssigt.

Bedste praksis for godkendelse

• Afvis som standard — intet er tilladt, medmindre det udtrykkeligt er givet
• Mindst mulig privilegium — minimal adgang til jobbet
• Funktionsadskillelse — ingen enkelt person kontrollerer en kritisk proces fra ende til anden
• Regelmæssige gennemgange — tilbagekald adgang, når roller ændres

Autorisationsfejl sker stille og roligt. Ingen bemærker den ekstra tilladelse, før nogen misbruger den, eller en revisor finder den.