I controlli di identità e accesso decidono chi un sistema ritiene che sia un utente e cosa è autorizzato a fare. "Identità" copre l'accesso e l'autenticazione, come password, token, single sign-on o controlli multi-fattore. "Accesso" copre l'autorizzazione: le autorizzazioni, i ruoli e le regole che limitano quali dati, strumenti o servizi un account può raggiungere.
Questi controlli sono importanti perché molti attacchi iniziano con credenziali rubate, compromissione dell'account o privilegi troppo ampi. Se un attaccante accede come un utente reale, regole di accesso deboli possono consentirgli di muoversi attraverso i sistemi interni, rubare dati o modificare codice e impostazioni. Difese efficaci includono autorizzazioni con il minimo privilegio, MFA robusta, gestione delle sessioni, separazione degli account privilegiati e revisioni periodiche degli accessi. Nelle grandi piattaforme online, compresi i servizi di gioco, identità e accesso proteggono anche gli strumenti per sviluppatori, le pipeline di aggiornamento, gli account dei clienti e le console di amministrazione, rendendoli una parte fondamentale dell'integrità delle release e della sicurezza operativa.