W systemach cyfrowych podmiotem może być osoba, usługa, urządzenie lub proces, a zasobem — dane, aplikacja, interfejs, sieć lub funkcja administracyjna.
Projekt kontroli dostępu przekłada politykę na egzekwowalne decyzje. Zwykle polega na identyfikacji i uwierzytelnieniu podmiotu, ustaleniu, do czego jest on upoważniony, egzekwowaniu wyniku w punkcie wymuszania polityki (policy enforcement point) i rejestrowaniu wystarczającego kontekstu do przeglądu istotnych decyzji. Kontrole mogą używać ról, atrybutów, relacji, reguł lub kombinacji tych modeli.
Najważniejsze punkty
Dane wejściowe politykiTożsamość, grupa lub rola, zasób, żądana operacja, stan urządzenia, lokalizacja, czas, ryzyko i inne istotne atrybuty.
Decyzja i egzekwowanieSilnik polityki może zdecydować, czy żądanie jest dozwolone, ale aplikacje, bramy, systemy operacyjne, bazy danych i inne punkty egzekwowania muszą ten wynik poprawnie stosować.
Wymóg cyklu życiaUprawnienia i dane wejściowe polityki wymagają przeglądu, gdy zmieniają się odpowiedzialności, zasoby, relacje zaufania lub ryzyka.
Istotne ograniczenieKontrola dostępu nie może zrekompensować fałszywie uwierzytelnionej tożsamości, błędnej polityki, obejścia egzekwowania ani uprawnień szerszych niż zamierzone zadanie.