認証は、認証されたユーザーが何を実行できるかを決定します。認証は扉を開ける役割を果たしますが、認証はどの部屋に入れるかを決定します。ヘルプデスクの従業員が正常にログインできたとしても、CEOのメールを読んだり、給与記録を変更したりできるわけではありません。認証は、すべてのリクエストの前に彼女の権限を確認し、彼女の役割外のあらゆる操作を拒否します。

一般的なモデルは、ロールベースと属性ベースです。ロールベースのアクセス制御では、権限を職務ごとにグループ化します。すべての会計担当者に同じ権限セットが付与されます。シンプルで監査しやすい反面、粗雑な場合もあります。属性ベースのアクセス制御では、部門、セキュリティクリアランスレベル、時間帯、リソースの機密性など、多くの要素に基づいてポリシーを評価します。請負業者は、管理対象デバイスから業務時間中にプロジェクトファイルにアクセスできますが、深夜に個人のラップトップからアクセスすることはできません。トレードオフは複雑さです。属性ポリシーは、作成と保守がより困難です。ほとんどの組織は、ロールから始めて、リスクに応じて属性を追加します。どちらの場合も原則は同じです。デフォルトで拒否し、必要なものだけを許可し、許可を定期的に見直すことです。

認証に関するベストプラクティス

• デフォルトで拒否 — 明示的に許可されない限り、何も許可されません
• 最小特権 ― 仕事に必要な最低限のアクセス権限
• 職務分掌 ― 重要なプロセスを最初から最後まで一人の人間が管理することはない
• 定期的な見直し ― 役割変更時にアクセス権を取り消す

認証エラーは静かに発生する。誰かがその権限を悪用するか、監査担当者が発見するまで、誰も余分な権限に気づかない。