การควบคุมการเข้าถึง (Access Control) เป็นกระบวนการความปลอดภัยข้อมูลที่ช่วยให้องค์กรจัดการว่าใครได้รับอนุญาตให้เข้าถึงข้อมูลและทรัพยากรขององค์กร การควบคุมการเข้าถึงที่ปลอดภัพใช้นโยบายที่ทดสอบว่าผู้ใช้คือผู้ที่พวกเขาอ้างว่าเป็น และให้การเข้าถึงระดับที่เหมาะสมถูกมอบหมายให้กับผู้ใช้
ระบบควบคุมการเข้าถึงโดยทั่วไปประกอบด้วยประตูบานล็อก หรืออุปสรรคที่สามารถเปิดได้โดยใช้วิธีการยืนยันตัวตน เช่น บัตรเข้าถึง RFID รหัส PIN การจดจำใบหน้า ลายนิ้วมือ หรือสมาร์ทโฟน เพื่ออนุญาตให้เข้าสู่อาคารหรือพื้นที่เฉพาะ
การควบคุมการเข้าถึงรวมถึงการป้องกันการเข้าถึงข้อมูลและทางกายภาพที่เสริมสร้างความปลอดภัยไซเบอร์โดยการจัดการการยืนยันตัวตนผู้ใช้ไปยังระบบ การจัดการการเข้าถึงหมายถึงการตั้งค่าและบังคับใช้การอนุญาตผู้ใช้ การยืนยันตัวตน นโยบายการควบคุมการเข้าถึงตามบทบาท (RBAC) และนโยบายการควบคุมการเข้าถึงตามแอตทริบิวต์ (ABAC)
เป้าหมายพื้นฐานของการควบคุมการเข้าถึงคือการรักษาและรักษาความลับ ความสมบูรณ์ และความพร้อมใช้งานของข้อมูล ระบบ และทรัพยากร บางคนสับสนระหว่างความลับกับความสมบูรณ์ ความลับ (Confidentiality) หมายถึงการรับรองว่ามีเฉพาะบุคคลที่ได้รับอนุญาตเท่านั้นที่สามารถดูและเข้าถึงข้อมูลและระบบได้
ความสมบูรณ์ (Integrity) หมายถึงการปกป้องข้อมูลจากการเปลี่ยนแปลงโดยไม่ได้รับอนุญาต อาจมีความลับโดยไม่มีความสมบูรณ์ สำคัญที่เฉพาะคนที่เหมาะสมจะเข้าถึงข้อมูลได้ แต่ก็สำคัญเช่นกันที่ข้อมูลต้องเป็นข้อมูลที่ถูกต้อง และไม่ใช่ข้อมูลที่ถูกเปลี่ยนแปลงไม่ว่าจะโดยบังเอิญหรือเจตนา
ความพร้อมใช้งาน (Availability) ชัดเจนน้อยกว่าความลับหรือความสมบูรณ์ แม้ข้อมูลและทรัพยากรจะต้องได้รับการปกป้อง แต่ก็ต้องเข้าถึงได้และพร้อมใช้งานในเวลาที่เหมาะสม หากต้องเปิดตู้เซฟ 10 ตู้เพื่อรับข้อมูลชิ้นหนึ่ง ข้อมูลนั้นไม่สามารถใช้งานได้ในเวลาที่เหมาะสม แม้ความพร้อมใช้งานดูชัดเจน แต่ก็สำคัญที่จะรับรู้ว่าเป็นเป้าหมาย เพื่อให้ความปลอดภัยไม่ถูกทำเกินไปจนข้อมูลไม่มีประโยชน์ต่อใคร
การควบคุมการเข้าถึงย่อยสร้างออกเป็นการยืนยันตัวตน การอนุญาต และการตรวจสอบของลูกค้าสำหรับเซสชัน อุปกรณ์การยืนยันตัวตนการควบคุมการเข้าถึงพัฒนาไปจนรวมถึง ID และรหัสผ่าน ใบรับรองดิจิทัล โทเคนความปลอดภัย บัตรอัจฉริยะ และชีวภาพวิทยา การอนุญาตการควบคุมการเข้าถึงพัฒนาไปเป็นการควบคุมการเข้าถึงตามบทบาท (RBAC)
RBAC รวบรวมสิทธิ์การเข้าถึงบางส่วนที่ผู้ใช้ต้องการเพื่อทำหน้าที่งานของตน ทั้งที่ระบุชัดเจนและที่จำเป็นโดยนัย และสามารถสืบทอดผ่านลำดับชั้น บทบาทส่วนบุคคลสามารถใช้กับผู้ใช้คนเดียวหรือกลุ่มผู้ใช้
ภายใต้ RBAC สามารถมอบสิทธิ์การเข้าถึงผู้ใช้ขึ้นอยู่กับหน้าที่งานของพวกเขา ดังนั้น บุคคลในแผนกการตลาดจะเข้าถึงเครือข่าย ระบบ และแอปพลิเคชันที่พวกเขาต้องการเพื่อทำงานได้ สิ่งนี้อาจรวมถึงแอปพลิเคชัน CRM บล็อกองค์กร บัญชีโซเชียลมีเดีย โฟลเดอร์ที่การตลาดต้องการในไดรฟ์ร่วม และเครื่องมือทำงานร่วมกัน
