El control de acceso determina quién entra y qué puede tocar. Una recepcionista de hospital necesita los historiales de los pacientes para programar citas. No necesita el sistema de facturación ni la base de datos de investigación. El control de acceso garantiza esa distinción. Sin él, cualquier cuenta se convierte en una posible puerta de entrada a todo.

Los mecanismos varían. El control de acceso basado en roles asigna permisos según el puesto. Un enfermero tiene un conjunto de derechos, un médico otro. Los sistemas basados ​​en atributos van más allá, considerando el departamento, la hora del día, la ubicación y el dispositivo. Un médico que usa una computadora portátil del hospital a las 2 de la madrugada puede acceder sin problemas. El mismo médico, usando un dispositivo no reconocido de otro país, podría no tener acceso. La autenticación multifactor agrega una segunda verificación al iniciar sesión. El principio fundamental es el de mínimo privilegio: otorgar a cada cuenta lo mínimo necesario, nada más.

Modelos comunes de control de acceso

• Discrecional: los propietarios establecen los permisos en sus propios archivos.
• Obligatorio: etiquetas que abarcan todo el sistema, comunes en entornos gubernamentales y militares.
• Basado en roles: permisos vinculados a las funciones del puesto.
• Basado en atributos: decisiones basadas en muchos factores contextuales.

Las revisiones de acceso son tan importantes como la configuración inicial. Las personas cambian de rol. Los contratistas se marchan. Las cuentas antiguas permanecen con permisos que nadie recuerda haber otorgado. Una revisión trimestral detecta lo que la automatización pasa por alto. Los atacantes cuentan con esa negligencia.