åtkomstkontroller

Åtkomstkontroller är mekanismer som reglerar vilka användare eller processer som får tillgång till digitala eller fysiska resurser och vilka åtgärder de får vidta med dessa resurser. Syftet är att skydda konfidentialitet, integritet och tillgänglighet genom att begränsa behörigheter utifrån identitet, roll och sammanhang.

Grunden för åtkomstkontroller är tre funktioner: autentisering (verifiera identiteten), auktorisation (fastställa vad den verifierade användaren får göra) och policyer som beskriver vilka rättigheter som gäller i olika situationer. Rättigheter kan lagras i åtkomstlistor eller behörighetsattribut och tilldelas som läs-, skriv-, kör-, eller administratörsbehörigheter. Vanliga implementeringar inkluderar åtkomstlistor (ACLs), behörighetsporter (permissions) samt capability-baserade modeller.

Vanliga modeller för att beskriva hur behörigheter styrs är DAC (discretionary access control), MAC (mandatory access control), RBAC (role-based access control) och ABAC (attribute-based access control). DAC ger ägaren kontroll över resursens behörigheter, MAC använder centralt styrda regler, RBAC tilldelar rättigheter baserat på användarroll, och ABAC baserar beslut på flera attribut hos användare, resurs och miljö.

Åtkomstkontroller tillämpas i olika miljöer, till exempel operativsystem, databaser, nätverk, molntjänster och fysiska säkerhetssystem. Praktiska aspekter inkluderar principen om minsta privilegium, behov av kännedom, regelbunden översyn av behörigheter, loggning och övervakning, samt krishantering och återkallande av åtkomst. Standarder och ramverk som ISO 27001 och NIST-guidelines fungerar ofta som stöd för policyutveckling och efterlevnad.