La gestione degli accessi è l'insieme dei controlli che decidono chi può accedere a un sistema, cosa può fare dopo l'accesso e quali funzioni sensibili restano limitate. Comprende la verifica dell'identità, l'autorizzazione, i ruoli, i livelli di privilegio e spesso strumenti come l'autenticazione a più fattori, il single sign-on e i controlli di accesso privilegiato.
È importante perché password rubate, account con privilegi eccessivi e regole di approvazione deboli sono percorsi comuni per entrare in un ambiente. Negli attacchi reali, gli avversari spesso abusano di account validi invece di violare la crittografia, quindi si muovono lateralmente o esfiltrano dati usando autorizzazioni concesse in modo troppo ampio. Una gestione degli accessi efficace aiuta i difensori a limitare il raggio d'azione con il principio del minimo privilegio, revisioni periodiche degli accessi, separazione dei compiti e revoca rapida quando gli account non sono più necessari. È uno dei modi più pratici per ridurre il rischio.