Åtkomstbehörighet

Åtkomstbehörighet avser rätten att få tillgång till och utföra åtgärder på resurser inom en organisations IT-miljö. Auktorisering avgör vad en identitet får göra och på vilka resurser den får agera. Den kopplas ofta till autentisering för att säkerställa att rätt enhet eller person får rätt behörighet.

Vanliga begrepp är identitet, autentisering, auktorisering och behörighetsnivåer. Resurser kan vara data, applikationer eller systemkomponenter. Behörigheter kan tilldelas individuellt eller via grupper och roller.

Modeller inkluderar diskretionär åtkomstkontroll (DAC), tvångsbaserad åtkomstkontroll (MAC), rollbaserad åtkomstkontroll (RBAC) och attributbaserad åtkomstkontroll (ABAC). DAC ger ägaren frihet att bestämma tillgång, RBAC tilldelar behörigheter efter roller, och ABAC baserar beslut på attribut som användarens roll, plats eller tid.

Principer som styr åtkomstbehörighet är principen om minst privilegium, behov av kännedom och separation av uppgifter. Dessa minskar risker genom att begränsa vad som kan göras och varför.

Livscykeln omfattar provisionering av behörigheter, deprovisionering vid anställningens upphörande, attestering och regelbundna granskningar av behörighetsnivåer samt ändringshantering vid förändringar i roller eller policyer.

Teknik och mekanismer inkluderar identitets- och behörighets­hantering (IAM), policybaserade kontroller, Access Control Lists (ACLs), rollbaserad eller attributbaserad implementering samt användning av tjänstekonton och tokenbaserad åtkomst.

Regelverk och efterlevnad berör GDPR, informationssäkerhetspolicyer och policyer för lämplig åtkomst i relation till personuppgifter och affärskritiska system.

Risker inkluderar behörighetsdrift, privilege creep när behörigheter ökar utan avsikt, konfigurationsfel och insiderhot.

Goda praxis är centraliserad behörighetshantering, kontinuerlig övervakning och loggning, regelbundna genomgångar av åtkomst och tydliga separation of duties.