tilgangskontroll

Tilgangskontroll er prosessen for å begrense hvem som kan få tilgang til ressurser og handlinger, basert på policy og autorisering. Begrepet omfatter både fysisk tilgang (bygninger, lokaler, utstyr) og logisk tilgang (datasystemer, nettverk, data). Hovedprinsippene er identifikasjon, autentisering, autorisering og regnskap (AAA). Identifikasjon bekrefter hvem en bruker er; autentisering verifiserer legitimiteten gjennom faktorer som noe brukeren vet (passord), noe brukeren har (token), eller noe brukeren er (biometri). Autorisering bestemmer hva en identitet har rett til å gjøre, og regnskap registrerer handlingene for revisjon.

Modeller og mekanismer: Discretionary Access Control (DAC) lar eiere av ressurser bestemme tilgang; Mandatory Access Control (MAC) bruker sentrale regler; Role-Based Access Control (RBAC) tildeler rettigheter etter rolle; Attribute-Based Access Control (ABAC) vurderer attributter som rolle, tid, sted. Tillegg inkluderer tilgangskontrolliste (ACL) og kapasitetslister (capability lists) som teknikker for å spesifisere tilgang.

Implementering innebærer policyutvikling, bruker- og rolleadministrasjon, flerfaktorautentisering der det er hensiktsmessig, minste privilegium-prinsippet, og tilgangsrevisjon og logging. Viktige hensyn er konfidensialitet, integritet og tilgjengelighet, samt samsvar med juridiske krav og organisasjonens sikkerhetspolicy.

Søken etter feil kan ramme tilgangskontroll: feilkonfigurasjon, skyggekontoer og insider-trusler. God praksis inkluderer regelmessig gjennomgang av rettigheter, separasjon av oppgaver og klare retningslinjer for avvik og oppsigelse.