Auktorisering avgör vad en autentiserad användare kan göra. Autentisering öppnar dörren. Auktorisering avgör vilka rum du kan komma in i. En helpdesk-anställd loggar in utan problem, men det betyder inte att hon kan läsa VD:ns e-post eller ändra löneuppgifter. Auktorisering kontrollerar hennes behörigheter före varje begäran och nekar allt utanför hennes roll.

De vanliga modellerna är rollbaserade och attributbaserade. Rollbaserad åtkomstkontroll grupperar behörigheter efter jobbfunktion. Varje revisor får samma uppsättning rättigheter. Det är enkelt och granskningsbart, men det kan vara grovt. Attributbaserad åtkomstkontroll utvärderar policyer mot många faktorer: avdelning, godkännandenivå, tid på dygnet och resursens känslighet. En entreprenör kan komma åt projektfiler under kontorstid från en hanterad enhet, men inte från en personlig bärbar dator vid midnatt. Avvägningen är komplexitet. Attributpolicyer är svårare att skriva och underhålla. De flesta organisationer börjar med roller och lägger till attribut där risken motiverar det. Principen är densamma i båda fallen: neka som standard, bevilja endast det som behövs och granska beviljanden regelbundet.

Bästa praxis för auktorisering

• Neka som standard — ingenting är tillåtet om det inte uttryckligen beviljas
• Minsta privilegium — minimal åtkomst för jobbet
• Arbetsuppdelning — ingen enskild person kontrollerar en kritisk process från början till slut
• Regelbundna granskningar — återkalla åtkomst när roller ändras

Auktoriseringsfel sker tyst. Ingen märker den extra behörigheten förrän någon missbrukar den eller en granskare hittar den.