A hozzáférés-vezérlés dönti el, hogy ki juthat be és mit nyúlhat hozzá. Egy kórházi adminisztrátornak szüksége van a betegadatokra az időpontok egyeztetéséhez. Nincs szüksége a számlázási rendszerre vagy a kutatási adatbázisra. A hozzáférés-vezérlés ezt a különbségtételt érvényesíti. Enélkül minden fiók potenciális elérési úttá válik mindenhez.

A mechanizmusok eltérőek. A szerepköralapú hozzáférés-vezérlés munkakörönként osztja ki az engedélyeket. Egy ápolói szerepkör egy sor jogot kap, egy orvos szerepkör egy másikat. Az attribútumalapú rendszerek tovább mennek, mérlegelve az osztályt, a napszakot, a helyszínt és az eszközt. Egy orvos egy kórházi laptopon hajnali 2-kor átmehet. Ugyanaz az orvos egy másik országból származó, ismeretlen eszközön esetleg nem. A többtényezős hitelesítés egy második ellenőrzést is hozzáad a bejelentkezéskor. Az egész mögött a minimális jogosultságok elve áll: minden fióknak a szükséges minimumot kell megadni, semmi többet.

Gyakori hozzáférés-vezérlési modellek

• Diszkrecionális – a tulajdonosok saját maguk állítják be a fájlokra vonatkozó engedélyeket
• Kötelező – rendszerszintű címkék, gyakoriak kormányzati és katonai környezetben
• Szerepköralapú – a munkaköri funkciókhoz kötött jogosultságok
• Tulajdonságalapú – számos kontextuális tényezőn alapuló döntések

A hozzáférés-felülvizsgálatok ugyanolyan fontosak, mint a kezdeti beállítás. Az emberek szerepet cserélnek. A vállalkozók távoznak. A régi fiókok olyan engedélyekkel vannak tele, amelyek megadására senki sem emlékszik. A negyedéves felülvizsgálat azt mutatja meg, amit az automatizálás nem vesz észre. A támadók erre a hanyagságra számítanak.