Η εξουσιοδότηση αποφασίζει τι μπορεί να κάνει ένας χρήστης με έλεγχο ταυτότητας. Η εξουσιοδότηση ανοίγει την πόρτα. Η εξουσιοδότηση καθορίζει σε ποια δωμάτια μπορείτε να εισέλθετε. Ένας υπάλληλος του γραφείου βοήθειας συνδέεται με επιτυχία, αλλά αυτό δεν σημαίνει ότι μπορεί να διαβάσει το email του Διευθύνοντος Συμβούλου ή να τροποποιήσει τα αρχεία μισθοδοσίας. Η εξουσιοδότηση ελέγχει τα δικαιώματά του πριν από κάθε αίτημα και απορρίπτει οτιδήποτε εκτός του ρόλου του.

Τα συνηθισμένα μοντέλα είναι αυτά που βασίζονται σε ρόλους και αυτά που βασίζονται σε χαρακτηριστικά. Ο έλεγχος πρόσβασης που βασίζεται σε ρόλους ομαδοποιεί τα δικαιώματα ανά λειτουργία εργασίας. Κάθε λογιστής λαμβάνει το ίδιο σύνολο δικαιωμάτων. Είναι απλό και ελέγξιμο, αλλά μπορεί να είναι χονδρικός. Ο έλεγχος πρόσβασης που βασίζεται σε χαρακτηριστικά αξιολογεί τις πολιτικές σε σχέση με πολλούς παράγοντες: τμήμα, επίπεδο εκκαθάρισης, ώρα της ημέρας και ευαισθησία του πόρου. Ένας εργολάβος μπορεί να έχει πρόσβαση σε αρχεία έργου κατά τις εργάσιμες ώρες από μια διαχειριζόμενη συσκευή, αλλά όχι από έναν προσωπικό φορητό υπολογιστή τα μεσάνυχτα. Το μειονέκτημα είναι η πολυπλοκότητα. Οι πολιτικές χαρακτηριστικών είναι πιο δύσκολο να γραφτούν και να διατηρηθούν. Οι περισσότεροι οργανισμοί ξεκινούν με ρόλους και προσθέτουν χαρακτηριστικά όπου ο κίνδυνος το δικαιολογεί. Η αρχή είναι η ίδια σε κάθε περίπτωση: άρνηση από προεπιλογή, χορήγηση μόνο ό,τι χρειάζεται και τακτική αναθεώρηση των χορηγήσεων.

Βέλτιστες πρακτικές εξουσιοδότησης

• Από προεπιλογή, δεν επιτρέπεται τίποτα εκτός εάν έχει εκχωρηθεί ρητά.
• Ελάχιστα προνόμια — ελάχιστη πρόσβαση για την εργασία
• Διαχωρισμός καθηκόντων — κανένα άτομο δεν ελέγχει μεμονωμένα μια κρίσιμη διαδικασία από την αρχή μέχρι το τέλος
• Τακτικές αξιολογήσεις — ανάκληση πρόσβασης όταν αλλάζουν ρόλοι

Οι αποτυχίες εξουσιοδότησης είναι σιωπηλές. Κανείς δεν παρατηρεί την επιπλέον άδεια μέχρι κάποιος να την καταχραστεί ή να την εντοπίσει ένας ελεγκτής.