存取控制決定誰可以進入系統以及他們可以存取哪些內容。醫院職員需要查閱病人記錄來安排預約，但她不需要存取計費系統或研究資料庫。存取控制確保了這種區別。如果沒有存取控制，每個帳戶都可能成為通往所有系統的潛在途徑。

其機制各不相同。基於角色的存取控制根據職稱分配權限。護士角色擁有一套權限，醫生角色擁有另一套權限。基於屬性的系統更進一步，會考慮部門、時間、地點和設備等因素。凌晨兩點，一位醫生在醫院的筆記型電腦登入可能通過驗證。但同一位醫生在國外使用一台未知的設備登入則可能失敗。多因素身份驗證在登入時增加了第二道驗證。所有這些機制背後的原則都是最小權限原則：每個帳戶都擁有所需的最低權限，不多不少。

通用存取控制模型

• 自主決定－擁有者可以自行設定檔案的權限。
• 強制性－系統範圍內的標籤，常見於政府和軍事機構
• 基於角色的權限－權限與工作職能掛鉤
• 基於屬性的決策－基於多種背景因素的決策

存取權限審查與初始設定同樣重要。人員會變動，承包商會離職，舊帳戶可能仍保留無人記得授予的權限。季度審查可以發現自動化流程遺漏的內容。攻擊者正是利用了這種疏忽。