L'autorisation détermine les actions qu'un utilisateur authentifié peut effectuer. L'authentification ouvre la porte. L'autorisation détermine les espaces auxquels on peut accéder. Une employée du service d'assistance se connecte avec succès, mais cela ne signifie pas qu'elle peut lire les courriels du PDG ou modifier les données de paie. L'autorisation vérifie ses permissions avant chaque requête et refuse toute action dépassant son rôle.

Les modèles courants sont le contrôle d'accès par rôle et le contrôle d'accès par attributs. Le contrôle d'accès par rôle regroupe les autorisations par fonction. Chaque comptable dispose des mêmes droits. Ce modèle est simple et auditable, mais peut manquer de précision. Le contrôle d'accès par attributs évalue les politiques en fonction de nombreux facteurs : service, niveau d'habilitation, heure et sensibilité de la ressource. Un prestataire peut accéder aux fichiers de projet pendant les heures de bureau depuis un appareil géré, mais pas depuis son ordinateur personnel à minuit. Le principal inconvénient est la complexité. Les politiques d'accès par attributs sont plus difficiles à rédiger et à maintenir. La plupart des organisations commencent par définir des rôles et ajoutent des attributs lorsque le risque le justifie. Le principe reste le même : refuser l'accès par défaut, n'accorder que ce qui est nécessaire et examiner régulièrement les autorisations.

meilleures pratiques d'autorisation

• Refus par défaut — aucune autorisation n’est accordée sauf autorisation explicite.
• Principe du moindre privilège — accès minimal requis pour le poste
• Séparation des tâches — aucune personne ne contrôle un processus critique de bout en bout
• Examens réguliers — révoquer l'accès en cas de changement de rôle

Les failles d'autorisation passent inaperçues. Personne ne remarque l'autorisation supplémentaire tant qu'elle n'est pas détournée ou découverte par un auditeur.