Autorisaties

Autorisaties verwijzen naar de rechten en privileges die aan een subject, zoals een gebruiker, een applicatie of een proces, zijn toegekend om acties uit te voeren op een resource of object, zoals een bestand, een database of een API. Autorisatie volgt op authenticatie en bepaalt wie wat mag doen, afhankelijk van identiteit, context en beleid.

Veelvoorkomende autorisatiemodellen zijn discretionary access control (DAC), mandatory access control (MAC), role-based access control (RBAC) en attribute-based access control (ABAC). DAC laat de eigenaar bepalen wie toegang heeft, MAC werkt met strikte beleidsregels, RBAC koppelt toegang aan rollen die aan gebruikers zijn toegewezen, en ABAC besluit op basis van attributen van gebruiker, resource en context.

Essentiële elementen zijn rechten (Permissions), rollen (Roles) en beleidsregels (Policies) die samen bepalen wie wat mag doen. Beheer van autorisaties omvat provisioning en de-provisioning: onboarding van medewerkers, rolwijzigingen en offboarding, zodat toegangen tijdig worden aangepast of ingetrokken. Het toepassen van het principe van minimale privileges en need-to-know helpt risico’s beperken, net als de scheiding van taken.

Governance en controle zijn cruciaal: periodieke recertificatie van toegangen, wijzigingsbeheer en uitgebreide logging en auditing. Organisaties maken gebruik van Identity and Access Management-systemen (IAM) en, voor extra bescherming, Privileged Access Management (PAM) en single sign-on (SSO) om autorisaties te beheren en te bewaken.

Uitdagingen zijn onder meer over-privilege, verouderde toegangsrechten en complexiteit in grote omgevingen. Best practices omvatten regelmatige toegangreviews, just-in-time-toegang waar mogelijk en meervoudige-factor-authenticatie om misbruik te voorkomen.