Le contrôle d'accès détermine qui peut accéder à un système et à ses ressources. Une secrétaire d'hôpital a besoin des dossiers patients pour planifier les rendez-vous. Elle n'a pas besoin du système de facturation ni de la base de données de recherche. Le contrôle d'accès garantit cette distinction. Sans lui, chaque compte pourrait donner accès à toutes les ressources.

Les mécanismes varient. Le contrôle d'accès basé sur les rôles attribue des autorisations en fonction de la fonction. Un infirmier bénéficie d'un ensemble de droits, un médecin d'un autre. Les systèmes basés sur les attributs vont plus loin, en prenant en compte le service, l'heure, le lieu et l'appareil. Un médecin utilisant un ordinateur portable de l'hôpital à 2 heures du matin peut être autorisé à se connecter. Le même médecin utilisant un appareil non reconnu depuis un autre pays peut se le voir refuser. L'authentification multifacteur ajoute une deuxième vérification lors de la connexion. Le principe sous-jacent est celui du moindre privilège : accorder à chaque compte le strict minimum nécessaire, rien de plus.

Modèles de contrôle d'accès courants

• Discrétionnaire — les propriétaires définissent les autorisations sur leurs propres fichiers
• Obligatoires — étiquettes à l'échelle du système, courantes dans les milieux gouvernementaux et militaires
• Autorisations basées sur les rôles — liées aux fonctions professionnelles
• Décisions fondées sur les attributs — décisions basées sur de nombreux facteurs contextuels

Les contrôles d'accès sont aussi importants que la configuration initiale. Les rôles évoluent. Les prestataires partent. D'anciens comptes persistent avec des autorisations que personne ne se souvient avoir accordées. Un contrôle trimestriel permet de détecter les failles de l'automatisation. Les attaquants comptent sur cette négligence.