autorisatieproces

Autorisatieproces is het proces waarbij wordt bepaald welke acties en resources een gebruiker, systeem of dienst mag benaderen binnen een organisatie, op basis van identiteit en toegewezen bevoegdheden. Het volgt doorgaans op authenticatie, die vaststelt wie iemand is; autorisatie bepaalt vervolgens wat die identiteit mag doen.

Het doel is beveiliging, operationele zekerheid en naleving van regelgeving. Belangrijke principes zijn least privilege (alleen de rechten die nodig zijn), need-to-know en toegangscontrole op basis van rollen of attributen. Voor organisaties kan autorisatie ook automatisch worden beheerd met behulp van Identity and Access Management (IAM) en gerelateerde beleidsmechanismen.

Een autorisatieproces omvat beleid, toewijzing van rollen en permissies, aanvraag- en goedkeuringsworkflows, provisioning en deprovisioning van toegang, en het intrekken van rechten wanneer dat nodig is. Activiteiten worden vastgelegd in logs en onderworpen aan periodieke controles (certificatie en recertificatie) om afwijkingen tijdig te signaleren en te corrigeren.

Typen autorisatiemodellen zijn onder meer RBAC (role-based access control), waarbij rechten aan rollen hangen; ABAC (attribute-based access control), waarbij rechten op basis van kenmerken van gebruiker, resource en context worden afgeleid; en minder gangbare modellen zoals DAC (discretionary) en MAC (mandatory). Organisaties kiezen vaak voor een combinatie, afgestemd op beleid, risico en operationele behoeften.

Uitdagingen in het autorisatieproces omvatten onder meer overprivilege, verouderde rechten en gebrek aan scheiding der taken. Beheersmaatregelen zijn onder meer periodieke recertificatie, just-in-time-toegang, geautomatiseerd provisioning en continue monitoring om de controle en naleving te waarborgen.