O controlo de acesso define quem entra e o que pode aceder. Uma rececionista hospitalar precisa dos registos médicos dos pacientes para agendar consultas. Ela não precisa do sistema de faturação nem da base de dados de pesquisa. O controlo de acessos garante essa distinção. Sem ele, cada conta torna-se uma porta de entrada para tudo.

Os mecanismos variam. O controlo de acesso baseado em funções atribui permissões por cargo. Uma enfermeira recebe um conjunto de direitos, um médico recebe outro. Os sistemas baseados em atributos vão mais além, considerando o departamento, a hora, a localização e o dispositivo. Um médico que utilize um portátil do hospital às 2h da manhã pode ter acesso. O mesmo médico, utilizando um dispositivo não reconhecido de outro país, pode não o ter. A autenticação multifator adiciona uma segunda verificação no login. O princípio subjacente a tudo isto é o do menor privilégio: conceder a cada conta o mínimo necessário, nada mais.

Modelos comuns de controlo de acesso

• Discricionário — os proprietários definem as permissões para os seus próprios ficheiros.
• Obrigatório — etiquetas para todo o sistema, comuns em ambientes governamentais e militares.
• Baseado em funções — permissões ligadas a funções de trabalho.
• Baseado em atributos — decisões baseadas em muitos fatores contextuais

As revisões de acesso são tão importantes como a configuração inicial. As pessoas mudam de função. Os contratados saem. As contas antigas mantêm-se com permissões que ninguém se lembra de ter concedido. Uma revisão trimestral deteta o que a automação deixa passar. Os invasores contam com esta negligência.