Kiểm soát truy cập quyết định ai được phép vào và họ có thể chạm vào những gì. Một nhân viên văn phòng bệnh viện cần hồ sơ bệnh nhân để lên lịch hẹn. Cô ấy không cần hệ thống thanh toán hoặc cơ sở dữ liệu nghiên cứu. Kiểm soát truy cập giúp phân biệt rõ điều đó. Nếu không có nó, mọi tài khoản đều có thể trở thành con đường dẫn đến mọi thứ.

Cơ chế hoạt động rất đa dạng. Kiểm soát truy cập dựa trên vai trò phân quyền theo chức danh công việc. Vai trò y tá được cấp một bộ quyền, vai trò bác sĩ được cấp một bộ quyền khác. Hệ thống dựa trên thuộc tính tiến xa hơn, xem xét cả khoa, thời gian trong ngày, địa điểm và thiết bị. Một bác sĩ sử dụng máy tính xách tay của bệnh viện lúc 2 giờ sáng có thể được cấp quyền. Nhưng cùng một bác sĩ đó, nếu sử dụng thiết bị không được nhận diện từ một quốc gia khác thì có thể không được cấp quyền. Xác thực đa yếu tố bổ sung thêm một bước kiểm tra thứ hai khi đăng nhập. Nguyên tắc cơ bản của tất cả là quyền tối thiểu: chỉ cấp cho mỗi tài khoản quyền tối thiểu cần thiết, không hơn.

Các mô hình kiểm soát truy cập phổ biến

• Tùy ý — chủ sở hữu tự thiết lập quyền truy cập vào các tệp của họ.
• Bắt buộc — nhãn áp dụng trên toàn hệ thống, thường thấy trong môi trường chính phủ và quân đội.
• Phân quyền theo vai trò — quyền hạn gắn liền với chức năng công việc
• Dựa trên thuộc tính — các quyết định dựa trên nhiều yếu tố ngữ cảnh

Việc xem xét lại quyền truy cập cũng quan trọng như việc thiết lập ban đầu. Nhân viên thay đổi vai trò. Nhà thầu rời đi. Các tài khoản cũ vẫn còn tồn tại với các quyền mà không ai nhớ đã cấp. Việc xem xét định kỳ hàng quý giúp phát hiện những gì hệ thống tự động bỏ sót. Kẻ tấn công dựa vào sự lơ là đó.