Tilgangskontrollkrav

Tilgangskontrollkrav er spesifikasjoner og regler som bestemmer hvem som har rett til å få tilgang til data eller systemressurser, under hvilke omstendigheter og gjennom hvilke mekanismer. De er sentrale i sikkerhetsstyring og ofte nedfelt i organisasjonens sikkerhetspolicyer og krav til systemutvikling og drift.

Kjerneelementer i tilgangskontrollkrav er autentisering (bekrefte identitet), autorisering (fastslå hvilke handlinger en identitet har rett til å gjøre) og revisjon/overvåking (loggføre tilgang og hendelser). Prinsipper som minste privilegium, behov for kjennskap og separasjon av plikter brukes for å begrense risikoen for misbruk eller feil.

Vanlige teknikker og modeller inkluderer rollebasert tilgangskontroll (RBAC), attributtbasert tilgangskontroll (ABAC) og bruk av tilgangslister eller policyer for å styre hva som er tillatt. Tilgang bør være tidsbegrenset der det er hensiktsmessig, og systemer bør støtte sterk autentisering, for eksempel multifaktorautentisering (MFA). Gjennomgang og oppdatering av tilgangsrettigheter bør være en fast del av sikkerhetsstyringen og etter behov ved organisasjonsendringer.

Regulatorisk og standardmessig kontekst inkluderer krav i personvernregelverk som GDPR, samt retningslinjer i standarder som ISO/IEC 27001 og ulike rammeverk som gir veiledning for implementering. Tilgjengelighet av data og systemer bør balanseres mot av hensyn til personvern og forretningsbehov.

Eksempelvis kan en ansatt få tilgang til avgrensede journaler basert på sin rolle, med logging av alle pålogginger og tilgangshendelser.