Åtkomstkontroll avgör vem som får komma in och vad de får röra vid. En sjukhusbiträde behöver patientjournaler för att boka tider. Hon behöver inte faktureringssystemet eller forskningsdatabasen. Åtkomstkontrollen upprätthåller den skillnaden. Utan den blir varje konto en potentiell väg till allting.

Mekaniken varierar. Rollbaserad åtkomstkontroll tilldelar behörigheter efter jobbtitel. En sjuksköterskeroll får en uppsättning rättigheter, en läkarroll får en annan. Attributbaserade system går längre och väger avdelning, tid på dagen, plats och enhet. En läkare på en sjukhuslaptop klockan 02:00 kan passera. Samma läkare på en okänd enhet från ett annat land kanske inte gör det. Multifaktorautentisering lägger till en andra kontroll vid inloggning. Principen bakom allt detta är minsta möjliga behörighet: ge varje konto det minimum det behöver, inget mer.

Vanliga modeller för åtkomstkontroll

• Diskretionärt — ägare anger behörigheter för sina egna filer
• Obligatorisk — systemomfattande etiketter, vanliga i statliga och militära miljöer
• Rollbaserade — behörigheter knutna till jobbfunktioner
• Attributbaserade — beslut baserade på många kontextuella faktorer

Åtkomstgranskningar är lika viktiga som den initiala installationen. Människor byter roller. Entreprenörer slutar. Gamla konton ligger kvar med behörigheter som ingen minns att de beviljat. En kvartalsvis granskning fångar upp det som automatisering missar. Angripare räknar med den försummelsen.