Åtkomstkontroll

Åtkomstkontroll är en samling metoder och processer som reglerar vem eller vad som får tillgång till resurser i ett informationssystem eller en organisation. Syftet är att skydda konfidentialitet, integritet och tillgänglighet genom att begränsa användares och enhetsbehörigheter baserat på identitet och sammanhang.

Kärnan består av autentisering och auktorisering. Autentisering verifierar vem du är, medan auktorisering avgör vilka åtgärder du får utföra. Principer som minsta privilegium och need-to-know används för att minimera risker.

Vanliga modeller är Mandatory Access Control MAC, Discretionary Access Control DAC, Role-Based Access Control RBAC och Attribute-Based Access Control ABAC. MAC är centralstyrd, DAC ger resursejaren frihet att delegera behörigheter, RBAC baserar behörigheter på roller och ABAC bygger på användarens och resursens attribut.

Praktiska mekanismer inkluderar access control lists ACL, capabilities och policybaserade kontroller. Åtkomstkontroll implementeras i operativsystem, filsystem, databaser, applikationer och nätverk, ofta i kombination med identitets- och behörighetsinfrastruktur som central policyhantering.

God praxis omfattar regelbunden granskning av behörigheter, loggning och övervakning, separation av arbetsuppgifter och automatiserad livscykelhantering av användarkonton och roller. Vanliga utmaningar är överbehörigheter, organisatoriska förändringar som påverkar roller och behovet av kontinuerlig uppdatering av policies för att spegla verksamhetens krav. Standards och ramverk som används vid efterlevnad inkluderar NIST SP 800-53 och ISO/IEC 27001.