Autorizarea decide ce poate face un utilizator autentificat. Autentificarea deschide ușa. Autorizarea determină în ce camere puteți intra. Un angajat al biroului de asistență se conectează cu succes, dar asta nu înseamnă că poate citi e-mailul directorului general sau poate modifica înregistrările salariale. Autorizarea îi verifică permisiunile înainte de fiecare solicitare și respinge orice în afara rolului său.

Modelele comune sunt bazate pe roluri și pe atribute. Controlul accesului bazat pe roluri grupează permisiunile în funcție de funcția postului. Fiecare contabil primește același set de drepturi. Este simplu și auditabil, dar poate fi superficial. Controlul accesului bazat pe atribute evaluează politicile în funcție de mai mulți factori: departamentul, nivelul de autorizare, ora din zi și sensibilitatea resursei. Un contractor poate accesa fișierele proiectului în timpul orelor de program de pe un dispozitiv gestionat, dar nu de pe un laptop personal la miezul nopții. Compromisul este complexitatea. Politicile privind atributele sunt mai greu de scris și de întreținut. Majoritatea organizațiilor încep cu roluri și adaugă atribute acolo unde riscul îl justifică. Principiul este același în ambele cazuri: refuzarea implicită, acordarea doar a ceea ce este necesar și revizuirea permisiunilor în mod regulat.

Cele mai bune practici de autorizare

• Refuzare implicită — nimic nu este permis decât dacă este acordat explicit
• Privilegiu minim — acces minim pentru job
• Separarea sarcinilor — nicio persoană nu controlează un proces critic de la un capăt la altul
• Revizuiri regulate — revocați accesul atunci când rolurile se schimbă

Eșecurile de autorizare sunt discrete. Nimeni nu observă permisiunea suplimentară până când cineva nu o folosește abuziv sau un auditor nu o găsește.