Toegangscontrole bepaalt wie toegang heeft en wat ze kunnen aanraken. Een baliemedewerker in een ziekenhuis heeft patiëntendossiers nodig om afspraken te plannen. Ze heeft geen toegang tot het facturatiesysteem of de onderzoeksdatabase. Toegangscontrole handhaaft dit onderscheid. Zonder toegangscontrole zou elk account een potentiële toegangspoort tot alles worden.

De mechanismen verschillen. Toegangsbeheer op basis van rollen kent machtigingen toe op basis van functietitel. Een verpleegkundige krijgt een bepaalde set rechten, een arts een andere. Op attributen gebaseerde systemen gaan nog een stap verder en wegen afdeling, tijdstip, locatie en apparaat mee. Een arts die om 2 uur 's nachts een laptop in het ziekenhuis gebruikt, krijgt mogelijk wel toegang. Dezelfde arts krijgt mogelijk geen toegang op een onbekend apparaat uit een ander land. Multifactorauthenticatie voegt een tweede controle toe bij het inloggen. Het onderliggende principe is het principe van minimale bevoegdheden: geef elk account het minimum dat het nodig heeft, niets meer.

Gangbare toegangscontrolemodellen

• Naar eigen inzicht — eigenaren bepalen zelf de toegangsrechten voor hun bestanden.
• Verplicht — systeemwijde labels, gebruikelijk in overheids- en militaire omgevingen.
• Op rollen gebaseerd — machtigingen gekoppeld aan functieomschrijvingen
• Op kenmerken gebaseerde beslissingen — beslissingen gebaseerd op vele contextuele factoren.

Toegangscontroles zijn net zo belangrijk als de initiële configuratie. Mensen veranderen van rol. Aannemers vertrekken. Oude accounts blijven bestaan ​​met machtigingen die niemand zich herinnert te hebben verleend. Een driemaandelijkse controle brengt zaken aan het licht die door automatisering over het hoofd worden gezien. Aanvallers rekenen op die nalatigheid.