åtkomstkontrollen

Åtkomstkontrollen är processen att fastställa och tillämpa vilka användare eller enheter som får tillgång till resurser, och under vilka villkor, i fysiska och digitala miljöer. Syftet är att skydda konfidentialitet, integritet och tillgänglighet genom att begränsa rättigheter till det som behövs för utfört arbete. En grundläggande struktur innefattar identifikation, autentisering, auktorisation och övervakning (revision). Identifikation innebär att entiteten presenterar en identitet. Autentisering bekräftar identiteten genom metoder som något användaren vet (lösenord), något användaren har (token) eller något användaren är (biometri). Auktorisation avgör vilka resurser och operationer som får användas baserat på policier eller roller. Övervakning loggar tillgångsförsök och förändringar för senare analys.

Åtkomstkontrollen kan tillämpas genom olika modeller: Discretionary Access Control (DAC) låter ägaren bestämma rättigheter för resurser; Mandatory Access Control (MAC) bygger på central policy; Role-Based Access Control (RBAC) tilldelar rättigheter efter användarens roll; och Attribute-Based Access Control (ABAC) baserar beslut på attribut hos användare, resurs och miljö.

Genomförandet kräver livscykelhantering: provisionering av nya användare, ändringar av roller och deprovisionering vid upphörd anställning; principen om minsta privilegium och behovsbaserad åtkomst. Vanliga mekanismer inkluderar access control lists (ACLs), behörighets- eller kapabilitetslistor samt central identitets- och behörighetsstyrning. Åtkomstkontroll används i både fysiska system (passerkort, elektroniska lås) och logiska system (nätverk, filsystem, applikationer). Standarder som ISO/IEC 27001 och NIST SP 800-53 ger riktlinjer för hur kontroller bör utformas och granskas, medan Zero Trust-principer betonar kontinuerlig verifiering och minimitraväd.