Ο έλεγχος πρόσβασης αποφασίζει ποιος θα μπει και τι μπορεί να αγγίξει. Μια υπάλληλος νοσοκομείου χρειάζεται τα αρχεία των ασθενών για να προγραμματίσει ραντεβού. Δεν χρειάζεται το σύστημα χρέωσης ή τη βάση δεδομένων έρευνας. Ο έλεγχος πρόσβασης επιβάλλει αυτή τη διαφορά. Χωρίς αυτόν, κάθε λογαριασμός γίνεται μια πιθανή διαδρομή προς τα πάντα.

Οι μηχανισμοί ποικίλλουν. Ο έλεγχος πρόσβασης βάσει ρόλων εκχωρεί δικαιώματα ανά θέση εργασίας. Ένας ρόλος νοσηλευτή αποκτά ένα σύνολο δικαιωμάτων, ένας ρόλος γιατρού αποκτά ένα άλλο. Τα συστήματα που βασίζονται σε χαρακτηριστικά προχωρούν περαιτέρω, όπως το τμήμα ζύγισης, η ώρα της ημέρας, η τοποθεσία και η συσκευή. Ένας γιατρός σε φορητό υπολογιστή νοσοκομείου στις 2 π.μ. μπορεί να περάσει. Ο ίδιος γιατρός σε μια μη αναγνωρισμένη συσκευή από άλλη χώρα μπορεί να μην περάσει. Ο πολυπαραγοντικός έλεγχος ταυτότητας προσθέτει έναν δεύτερο έλεγχο κατά τη σύνδεση. Η αρχή που διέπει όλα αυτά είναι η ελάχιστη δυνατή προνόμιο: δώστε σε κάθε λογαριασμό το ελάχιστο που χρειάζεται, τίποτα περισσότερο.

Κοινά μοντέλα ελέγχου πρόσβασης

• Διακριτική ευχέρεια — οι κάτοχοι ορίζουν δικαιώματα στα δικά τους αρχεία
• Υποχρεωτικά — ετικέτες που ισχύουν για ολόκληρο το σύστημα, κοινές σε κυβερνητικά και στρατιωτικά περιβάλλοντα
• Βασισμένο σε ρόλους — δικαιώματα που συνδέονται με λειτουργίες εργασίας
• Βασισμένο σε χαρακτηριστικά — αποφάσεις που βασίζονται σε πολλούς παράγοντες που αφορούν τα συμφραζόμενα

Οι αξιολογήσεις πρόσβασης έχουν την ίδια σημασία με την αρχική ρύθμιση. Οι άνθρωποι αλλάζουν ρόλους. Οι εργολάβοι φεύγουν. Οι παλιοί λογαριασμοί παραμένουν με δικαιώματα που κανείς δεν θυμάται να έχει χορηγήσει. Μια τριμηνιαία αξιολόγηση εντοπίζει τι χάνει ο αυτοματισμός. Οι εισβολείς βασίζονται σε αυτήν την παραμέληση.