O controle de acesso é o conjunto de mecanismos que determina quem pode acessar o quê, quando e sob quais condições.

Ele se apoia em três etapas encadeadas, conhecidas como modelo AAA: Autenticação, Autorização e Auditoria (Accounting).

Identificação e Autenticação

A identificação é a declaração de identidade, como informar um nome de usuário. A autenticação é a comprovação dessa identidade.

Os fatores de autenticação são classificados em três categorias: algo que você sabe (senha, PIN), algo que você tem (token, cartão, celular) e algo que você é (biometria).

A autenticação multifator (MFA) combina fatores de categorias diferentes, elevando substancialmente a segurança contra roubo de credenciais.

Autorização

Após autenticado, o usuário recebe permissões conforme políticas previamente definidas. Dois princípios orientam essa etapa:

Menor privilégio: conceder apenas os direitos estritamente necessários para a execução das tarefas.

Segregação de funções: dividir atividades críticas entre pessoas distintas, de modo que nenhuma detenha controle total sobre um processo sensível.