アクセス制御は、誰がアクセスでき、何にアクセスできるかを決定します。病院の事務員は、予約をスケジュールするために患者の記録が必要ですが、請求システムや研究データベースは必要ありません。アクセス制御は、この区別を明確にします。アクセス制御がなければ、すべてのアカウントがあらゆるものへの潜在的な経路となってしまいます。

仕組みは様々です。ロールベースのアクセス制御では、役職に基づいて権限が割り当てられます。看護師にはある権限セットが、医師には別の権限セットが割り当てられます。属性ベースのシステムはさらに踏み込み、部署、時間帯、場所、デバイスなどを考慮します。午前2時に病院のノートパソコンを使用している医師は認証されるかもしれませんが、別の国から認識されていないデバイスを使用している同じ医師は認証されないかもしれません。多要素認証は、ログイン時に2つ目のチェックを追加します。これらのすべてに共通する原則は最小権限です。つまり、各アカウントには必要最低限​​の権限のみを与え、それ以上は与えないということです。

一般的なアクセス制御モデル

• 任意 — 所有者が自分のファイルに対するアクセス許可を設定します
• 必須 — システム全体に適用されるラベルで、政府機関や軍事機関でよく見られる。
• 役割ベース — 権限は職務機能に紐づいている
• 属性ベース — 多くの状況要因に基づいた意思決定

アクセス権限のレビューは、初期設定と同じくらい重要です。担当者が異動したり、契約社員が退職したりすると、誰も覚えていない権限が付与されたままの古いアカウントが残ってしまうことがあります。四半期ごとのレビューは、自動化では見逃してしまう問題を捕捉します。攻撃者は、こうした怠慢を狙っているのです。